根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Jenkins 是 Jenkins LTS 2.516.3 之前版本或 Jenkins 每週版的 2.528 之前版本。因此，會受到多個弱點影響：

  - 在 Eclipse Jetty <=9.4.57、 <=10.0.25、 <=11.0.25、 <=12.0.21、 <=12.1.0.alpha2 版中例如HTTP/2 用戶端可能會觸發伺服器傳送 RST_STREAM 框架傳送格式錯誤或不應在特定資料流狀態中傳送的框架進而強制伺服器消耗資源 (如 CPU 和記憶體)。例如用戶端可以開啟一個資料流然後以非法的視窗大小增量為 0 來傳送 WINDOW_UPDATE 框架。根據規格 https://www.rfc-editor.org/rfc/rfc9113.html#name-window_update 伺服器應傳送 RST_STREAM 框架。用戶端現可開啟另一個資料流並傳送另一個錯誤的 WINDOW_UPDATE因此造成伺服器耗用比必要更多的資源因為在此情況下並未超過並行資料流的數量不過用戶端仍可在 中建立大量資料流短時間。可利用造成伺服器傳送 RST_STREAM 框架的其他條件 (例如已關閉資料流的 DATA 框架) 發動此攻擊。連結* https://github.com/jetty/jetty.project/security/advisories/GHSA-mmxm-8w33-wc4h (CVE-2025-5115)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2025:16462 公告中提及的弱點影響。

    Jenkins 是一種持續整合伺服器，可監控重複工作的執行，例如建置軟體專案，或 cron 執行的工作。

    安全性修正：

    * jenkinsHTTP/2 (包括透過 HTTPS 的 DNS) 含有設計瑕疵且容易遭受透過 HTTP/2 控制框架發動的 MadeYouReset DoS 攻擊 (CVE-2025-5115)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到一個弱點影響的套件如 dla-4299 公告中所提及。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4299-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Adrian Bunk 2025 年 9 月 14 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 jetty9 版本 9.4.57-0+deb11u3 CVE ID CVE-2025-5115 Debian 錯誤 1111766

    已在 Jetty Web 伺服器和 servlet 容器中修正MadeYouReset HTTP/2 弱點。

    針對 Debian 11 Bullseye此問題已在 9.4.57-0+deb11u3 版本中修正。

    建議您升級 jetty9 套件。

    如需有關 jetty9 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/jetty9

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機已安裝一個受到 dsa-6006 公告中所提及弱點影響的套件。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6006-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 9 月 19 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 jetty12 CVE ID CVE-2025-5115

    此 Jetty (一種 Java servlet 引擎和網頁伺服器) 更新可解決 HTTP/2 支援中的一個通訊協定層級弱點也稱為 MadeYouReset。

    針對穩定的發行版本 (trixie)此問題已在 12.0.17-3.1~deb13u1 版本中修正。

    我們建議您升級 jetty12 套件。

    如需 jetty12 的詳細安全性狀態請參閱其安全追踪頁面
    https://security-tracker.debian.org/tracker/jetty12

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2025:16457 公告中提及的一個弱點影響。

    Jenkins 是一種持續整合伺服器，可監控重複工作的執行，例如建置軟體專案，或 cron 執行的工作。

    * jenkinsHTTP/2 (包括透過 HTTPS 的 DNS) 含有設計瑕疵且容易遭受透過 HTTP/2 控制框架發動的 MadeYouReset DoS 攻擊 (CVE-2025-5115)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2025:16460 公告中提及的弱點影響。

    Jenkins 是一種持續整合伺服器，可監控重複工作的執行，例如建置軟體專案，或 cron 執行的工作。

    安全性修正：

    * jenkinsHTTP/2 (包括透過 HTTPS 的 DNS) 含有設計瑕疵且容易遭受透過 HTTP/2 控制框架發動的 MadeYouReset DoS 攻擊 (CVE-2025-5115)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 Eclipse Jetty <=9.4.57、 <=10.0.25、 <=11.0.25、 <=12.0.21、 <=12.1.0.alpha2 版中例如HTTP/2 用戶端可能會觸發伺服器傳送 RST_STREAM 框架傳送格式錯誤或不應在特定資料流狀態中傳送的框架進而強制伺服器消耗資源 (如 CPU 和記憶體)。例如用戶端可以開啟一個資料流然後以非法的視窗大小增量為 0 來傳送 WINDOW_UPDATE 框架。根據規格 https://www.rfc-editor.org/rfc/rfc9113.html#name-window_update 伺服器應傳送 RST_STREAM 框架。用戶端現可開啟另一個資料流並傳送另一個錯誤的 WINDOW_UPDATE因此造成伺服器耗用比必要更多的資源因為在此情況下並未超過並行資料流的數量不過用戶端仍可在 中建立大量資料流短時間。可利用造成伺服器傳送 RST_STREAM 框架的其他條件 (例如已關閉資料流的 DATA 框架) 發動此攻擊。連結* https://github.com/jetty/jetty.project/security/advisories/GHSA-mmxm-8w33-wc4h (CVE-2025-5115)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2025:16454 公告中提及的一個弱點影響。

    Jenkins 是一種持續整合伺服器，可監控重複工作的執行，例如建置軟體專案，或 cron 執行的工作。

    安全性修正：

    * jenkinsHTTP/2 (包括透過 HTTPS 的 DNS) 含有設計瑕疵且容易遭受透過 HTTP/2 控制框架發動的 MadeYouReset DoS 攻擊 (CVE-2025-5115)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2025:16459 公告中提及的弱點影響。

    Jenkins 是一種持續整合伺服器，可監控重複工作的執行，例如建置軟體專案，或 cron 執行的工作。

    安全性修正：

    * jenkinsHTTP/2 (包括透過 HTTPS 的 DNS) 含有設計瑕疵且容易遭受透過 HTTP/2 控制框架發動的 MadeYouReset DoS 攻擊 (CVE-2025-5115)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 / 13 主機已安裝受到一個弱點影響的套件如 dsa-6005 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6005-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 9 月 19 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 jetty9 CVE ID CVE-2025-5115

    此 Jetty (一種 Java servlet 引擎和網頁伺服器) 更新可解決 HTTP/2 支援中的一個通訊協定層級弱點也稱為 MadeYouReset。

    針對舊的穩定發行版本 (bookwarm)此問題已在 9.4.57-1.1~deb12u1 版本中修正。

    針對穩定的發行版本 (trixie)此問題已在 9.4.57-1.1~deb13u1 版本中修正。

    建議您升級 jetty9 套件。

    如需有關 jetty9 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/jetty9

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2025:16456 公告中提及的一個弱點影響。

    Jenkins 是一種持續整合伺服器，可監控重複工作的執行，例如建置軟體專案，或 cron 執行的工作。

    安全性修正：

    * jenkinsHTTP/2 (包括透過 HTTPS 的 DNS) 含有設計瑕疵且容易遭受透過 HTTP/2 控制框架發動的 MadeYouReset DoS 攻擊 (CVE-2025-5115)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2025:16455 公告中提及的一個弱點影響。

    Jenkins 是一種持續整合伺服器，可監控重複工作的執行，例如建置軟體專案，或 cron 執行的工作。

    安全性修正：

    * jenkinsHTTP/2 (包括透過 HTTPS 的 DNS) 含有設計瑕疵且容易遭受透過 HTTP/2 控制框架發動的 MadeYouReset DoS 攻擊 (CVE-2025-5115)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2025:16461 公告中提及的弱點影響。

    Jenkins 是一種持續整合伺服器，可監控重複工作的執行，例如建置軟體專案，或 cron 執行的工作。

    安全性修正：

    * jenkinsHTTP/2 (包括透過 HTTPS 的 DNS) 含有設計瑕疵且容易遭受透過 HTTP/2 控制框架發動的 MadeYouReset DoS 攻擊 (CVE-2025-5115)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
265325	Jenkins LTS < 2.516.3/Jenkins 每週版 < 2.528 多個弱點	Nessus	CGI abuses	2025/9/17	2025/9/19	high
265742	RHEL 8：Red Hat 產品 OCP 工具 4.15 OpenShift Jenkins (RHSA-2025:16462)	Nessus	Red Hat Local Security Checks	2025/9/23	2025/9/23	high
264780	Debian dla-4299jetty9 - 安全性更新	Nessus	Debian Local Security Checks	2025/9/14	2025/9/14	high
265454	Debian dsa-6006jetty12 - 安全性更新	Nessus	Debian Local Security Checks	2025/9/19	2025/9/19	high
265738	RHEL 9Red Hat 產品 OCP 工具 4.16 OpenShift Jenkins (RHSA-2025:16457)	Nessus	Red Hat Local Security Checks	2025/9/23	2025/9/23	high
265803	RHEL 8：Red Hat 產品 OCP 工具 4.13 OpenShift Jenkins (RHSA-2025:16460)	Nessus	Red Hat Local Security Checks	2025/9/24	2025/9/24	high
260193	Linux Distros 未修補的弱點：CVE-2025-5115	Nessus	Misc.	2025/9/1	2025/9/25	high
265739	RHEL 9Red Hat 產品 OCP 工具 4.19 OpenShift Jenkins (RHSA-2025:16454)	Nessus	Red Hat Local Security Checks	2025/9/23	2025/9/23	high
265743	RHEL 8：Red Hat 產品 OCP 工具 4.12 OpenShift Jenkins (RHSA-2025:16459)	Nessus	Red Hat Local Security Checks	2025/9/23	2025/9/23	high
265453	Debian dsa-6005jetty9 - 安全性更新	Nessus	Debian Local Security Checks	2025/9/19	2025/9/19	high
265737	RHEL 9Red Hat 產品 OCP 工具 4.17 OpenShift Jenkins (RHSA-2025:16456)	Nessus	Red Hat Local Security Checks	2025/9/23	2025/9/23	high
265740	RHEL 9Red Hat 產品 OCP 工具 4.18 Openshift Jenkins (RHSA-2025:16455)	Nessus	Red Hat Local Security Checks	2025/9/23	2025/9/23	high
265784	RHEL 8：Red Hat 產品 OCP 工具 4.14 OpenShift Jenkins (RHSA-2025:16461)	Nessus	Red Hat Local Security Checks	2025/9/24	2025/9/24	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high