Non-constant time comparison of inbound TCP agent connection secret

TRUNG BÌNH 5.3CVE-2020-2101 · BIT-jenkins-2020-2101 · GHSA-w7jr-wqw6-54xc · Công bố 29/01/2020 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2020-2101 là lỗ hổng mức TRUNG BÌNH (CVSS 5.3) ảnh hưởng org.jenkins-ci.main:jenkins-core, jenkins (jenkins).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.4%, cao hơn 71.9% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.219, 2.204.2 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
org.jenkins-ci.main:jenkins-core Maven	`≥ 2.205, < 2.219< 2.204.2`	`2.2192.204.2`
jenkins jenkins	`≤ 2.204.1≤ 2.218`	Chưa có bản vá

Mô tả

Jenkins 2.218 and earlier, LTS 2.204.1 and earlier does not use a constant-time comparison validating the connection secret when an inbound TCP agent connection is initiated. This could potentially allow attackers to use statistical methods to obtain the connection secret.

Jenkins 2.219, LTS 2.204.2 now uses a constant-time comparison function for verifying connection secrets.

Mô tả của NVD

Jenkins 2.218 and earlier, LTS 2.204.1 and earlier did not use a constant-time comparison function for validating connection secrets, which could potentially allow an attacker to use a timing attack to obtain this secret.