Jenkins

A Checkmarx alertou sobre a publicação de uma versão comprometida de seu plugin Jenkins Application Security Testing (AST) no Jenkins Marketplace, atribuída ao grupo hacker TeamPCP. Este incidente faz parte de uma série de ataques à cadeia de suprimentos, que também afetaram outras ferramentas como npm e Trivy. O plugin AST da Checkmarx é amplamente utilizado para integrar a segurança em pipelines automatizados de desenvolvimento. Os hackers conseguiram acessar os repositórios do GitHub da Checkmarx e injetar código malicioso, utilizando credenciais obtidas em um ataque anterior ao Trivy. A Checkmarx confirmou que a versão maliciosa do plugin foi publicada fora do pipeline oficial e não seguiu os padrões de versionamento adequados. A empresa recomendou que os usuários verifiquem se estão utilizando a versão correta do plugin e alertou que aqueles que baixaram a versão comprometida devem considerar suas credenciais como comprometidas e realizar uma rotação de segredos. A Checkmarx também disponibilizou indicadores de comprometimento (IoCs) para ajudar na detecção de possíveis infecções em ambientes de desenvolvimento.

A Checkmarx confirmou a publicação de uma versão modificada do plugin Jenkins AST no Jenkins Marketplace, alertando os usuários para utilizarem a versão 2.0.13-829.vc72453fa_1c16, lançada em 17 de dezembro de 2025, ou versões anteriores. A nova versão, 2.0.13-848.v76e89de8a_053, foi disponibilizada, mas a empresa ainda está trabalhando em uma nova atualização. O ataque foi atribuído ao grupo cibercriminoso TeamPCP, que já havia comprometido anteriormente a imagem Docker KICS da Checkmarx, extensões do VS Code e um fluxo de trabalho do GitHub Actions para implantar malware que rouba credenciais. O acesso não autorizado ao repositório do plugin no GitHub permitiu que o grupo renomeasse o repositório para uma mensagem provocativa, evidenciando a falha na rotação de segredos por parte da Checkmarx. A rápida reentrada do TeamPCP sugere que a remediação inicial pode ter sido incompleta ou que o grupo ainda mantém um ponto de acesso não identificado. Este incidente destaca a vulnerabilidade da cadeia de suprimentos de software e a necessidade de vigilância contínua contra tais ameaças.

Recentemente, foram divulgadas 14 vulnerabilidades críticas no Jenkins, um servidor de automação amplamente utilizado, que expõem as infraestruturas de CI/CD de empresas a riscos significativos. Entre as falhas, destaca-se o bypass de autenticação SAML, identificado como CVE-2025-64131, com uma pontuação CVSS de 8.4. Essa vulnerabilidade permite que atacantes interceptem e reproduzam requisições de autenticação SAML, obtendo acesso total a contas de usuários sem a necessidade de credenciais válidas. Além disso, o plugin MCP Server apresenta falhas de autorização que permitem a escalada de privilégios, enquanto o plugin Azure CLI possibilita a execução de comandos de sistema arbitrários. Outras vulnerabilidades incluem injeções de comandos, armazenamento em texto simples de tokens de autenticação e problemas de verificação de permissões. As organizações que utilizam versões afetadas devem priorizar a aplicação de patches para mitigar esses riscos e proteger suas operações. A atualização para versões corrigidas é essencial para evitar acessos não autorizados e ataques de escalada de privilégios.