Jenkins ssh-slave Docker 映像 SSH 主机密钥重用

critical Nessus 插件 ID 248557

语言：

简介

远程主机上的 docker 容器受到 SSH 主机密钥重用漏洞的影响。

描述

根据其自我报告的版本号远程 Web 服务器上运行的 jenkins/ssh-slave docker 容器受到 SSH 主机密钥重用漏洞的影响。在 jenkins/ssh-slave Docker 映像中创建时为基于 Debian 的图像生成 SSH 主机密钥导致所有基于相同版本映像的容器使用相同的 SSH 主机密钥进而允许攻击者将自身插入网络SSH 客户端（通常是 Jenkins 控制器）和 SSH 构建代理之间的路径来模拟后者。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

解决方案

停止使用 jenkins/ssh-slave。改用受支持的 jenkins/ssh-agent 版本。

另见

https://www.jenkins.io/security/advisory/2025-04-10/

插件详情

严重性: Critical

ID: 248557

文件名: jenkins_security_advisory_2025-04-10_ssh_slave.nasl

版本: 1.1

类型: local

代理: unix

系列: Misc.

发布时间: 2025/8/12

最近更新时间: 2025/8/12

支持的传感器: Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.2

CVSS v2

风险因素: High

基本分数: 9.4

矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:N

CVSS 分数来源: CVE-2025-32755

CVSS v3

风险因素: Critical

基本分数: 9.1

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

漏洞信息

CPE: cpe:/a:jenkins:ssh-slave

必需的 KB 项: Service/docker

漏洞发布日期: 2025/4/10

参考资料信息

CVE: CVE-2025-32755