情報取得日: 2025/10/02／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2017-1000353 |
|---|---|
| 製品 | Jenkins / Jenkins |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-502 信頼できないデータのデシリアライズ |
| CVE 公開日 | 2018/01/29（NVD） |
| CISA KEV 収載日 | 2025/10/02 2018年に公開された脆弱性です。新着として扱う前に公開年を確認してください。 |
| KEV 期限 | 2025/10/23 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2017-1000353 |
Jenkins の CLI に未認証のリモートコード実行がある。攻撃者はシリアライズされた Java の SignedObject を Jenkins CLI へ送り込めば、新しい ObjectInputStream でデシリアライズされ、既存のブラックリスト方式の保護を回避して任意コードを実行できる。影響は Jenkins 2.56 以前および LTS 2.46.1 以前。Jenkins 側の修正は SignedObject をブラックリストへ追加したうえで、2.54 の HTTP ベース CLI プロトコルを LTS 2.46.2 にバックポートし、remoting（Java シリアライズ）ベースの CLI プロトコルを非推奨として既定で無効化するというものである。CVSS は NVD（Primary）と CISA-ADP がいずれも 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で一致している。旧 CVSS v2 では 7.5。CISA KEV には 2025-10-02 に収載され、是正期限は 2025-10-23。公開は 2018年1月で、Exploit-DB に実証コードがある（NVD 参照に Exploit タグ）。Jenkins は CI サーバであり、資格情報・デプロイ鍵・クラウドの IAM ロールを保持しているため、1台の侵害がそのままインフラ全体の侵害につながる位置にある。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 / ECS / EKS 上の Jenkins を現行 LTS へ更新し、remoting ベース CLI を無効化する。ALB / SG での公開範囲も絞る
Jenkins は EC2 インスタンスプロファイルや静的アクセスキーを持つことが多く、侵害時の被害は Jenkins 単体で終わらない。公開実績があれば IAM 資格情報のローテーションまで行う。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
GCE / GKE 上の Jenkins を現行 LTS へ更新し、CLI 経路を閉じる
サービスアカウント鍵を Jenkins に置いている場合は、更新後に鍵の再作成を行う。VPC ファイアウォールで 8080 の公開範囲を確認する。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM / AKS 上の Jenkins を現行 LTS へ更新し、CLI 経路を閉じる
サービスプリンシパルのシークレットを Jenkins に格納している場合は再発行する。NSG で 8080 の到達範囲を確認する。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
Jenkins を 2.57 以降 / LTS 2.46.2 以降（実務上は現行 LTS）へ更新する。remoting ベースの CLI プロトコルは既定で無効な版へ上げる
数世代飛ぶ更新になるため、プラグインの互換性検証か、新規構築してジョブを移行する判断が必要。更新までの緩和は /cli への到達拒否。
参照リンク
|
Jenkins 2.56 / LTS 2.46.1 以前という条件から、該当するのは長年放置された Jenkins だけである。つまりこの CVE の実務的な意味は「棚卸しされていない Jenkins が残っていないか」を確認することにある。判定は、Jenkins の画面右下または /api/json?tree=version でバージョンを取得し、weekly 2.56 以下・LTS 2.46.1 以下なら該当とする。管理者アカウントが分からない古い Jenkins でも、ログイン画面のフッタや HTTP レスポンスヘッダの X-Jenkins にバージョンが出る場合がある。到達性は、8080（または 8443）がインターネットや広い社内ネットワークから見えていないかを、SG / NSG / VPC ファイアウォールと ALB / Ingress のルールで確認する。対応の方向は2つで、まず現行の LTS へ更新する（数世代飛ばしになるためプラグイン互換性の検証が必要で、実際には新規に構築して job を移す方が早いことが多い）。更新までの緩和として、Jenkins の CLI 自体を無効化する（remoting ベース CLI の無効化、/cli エンドポイントへの到達をリバースプロキシで拒否）ことで、この経路は塞げる。加えて、Jenkins を直接公開しない（VPN・プライベートサブネット・IP 制限）という基本の見直しをここで済ませる。既に古い Jenkins を公開していた場合は、更新だけでは終わらない。Jenkins が保持している資格情報（credentials.xml の中身、SSH デプロイ鍵、クラウドの静的アクセスキー、レジストリのトークン）を侵害前提で全て再発行し、ジョブ定義に不審な shell ステップが追加されていないか、$JENKINS_HOME に見覚えのない plugin や init.groovy.d のスクリプトが無いかを点検する。完了条件は、（1）全 Jenkins が修正版以降で稼働、（2）remoting ベース CLI が無効、（3）公開実績があった環境では資格情報の再発行と痕跡確認が済んでいること。KEV 是正期限 2025-10-23 は経過しているため、残存していれば期限超過として扱う。
Critical（CVSS 9.8）に分類されるJenkins Jenkinsの脆弱性です。Jenkins の CLI に未認証のリモートコード実行がある。攻撃者はシリアライズされた Java の SignedObject を Jenkins CLI へ送り込めば、新しい ObjectInputStream でデシリアライズされ、既存のブラックリスト方式の保護を回避して任意コードを実行できる。影響は Jenkins 2.56 以前および LTS 2.46.1 以前。Jenkins 側の修正は SignedObject をブラックリストへ追加したうえで、2.54 の HTTP ベース CLI プロトコルを LTS 2.46.2 にバックポートし、remoting（Java シリアライズ）ベースの CLI プロトコルを非推奨として既定で無効化するというものである。CVSS は NVD（Primary）と CISA-ADP がいずれも 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で一致している。旧 CVSS v2 では 7.5。CISA KEV には 2025-10-02 に収載され、是正期限は 2025-10-23。公開は 2018年1月で、Exploit-DB に実証コードがある（NVD 参照に Exploit タグ）。Jenkins は CI サーバであり、資格情報・デプロイ鍵・クラウドの IAM ロールを保持しているため、1台の侵害がそのままインフラ全体の侵害につながる位置にある。
Jenkins 2.56 / LTS 2.46.1 以前という条件から、該当するのは長年放置された Jenkins だけである。つまりこの CVE の実務的な意味は「棚卸しされていない Jenkins が残っていないか」を確認することにある。判定は、Jenkins の画面右下または /api/json?tree=version でバージョンを取得し、weekly 2.56 以下・LTS 2.46.1 以下なら該当とする。管理者アカウントが分からない古い Jenkins でも、ログイン画面のフッタや HTTP レスポンスヘッダの X-Jenkins にバージョンが出る場合がある。到達性は、8080（または 8443）がインターネットや広い社内ネットワークから見えていないかを、SG / NSG / VPC ファイアウォールと ALB / Ingress のルールで確認する。対応の方向は2つで、まず現行の LTS へ更新する（数世代飛ばしになるためプラグイン互換性の検証が必要で、実際には新規に構築して job を移す方が早いことが多い）。更新までの緩和として、Jenkins の CLI 自体を無効化する（remoting ベース CLI の無効化、/cli エンドポイントへの到達をリバースプロキシで拒否）ことで、この経路は塞げる。加えて、Jenkins を直接公開しない（VPN・プライベートサブネット・IP 制限）という基本の見直しをここで済ませる。既に古い Jenkins を公開していた場合は、更新だけでは終わらない。Jenkins が保持している資格情報（credentials.xml の中身、SSH デプロイ鍵、クラウドの静的アクセスキー、レジストリのトークン）を侵害前提で全て再発行し、ジョブ定義に不審な shell ステップが追加されていないか、$JENKINS_HOME に見覚えのない plugin や init.groovy.d のスクリプトが無いかを点検する。完了条件は、（1）全 Jenkins が修正版以降で稼働、（2）remoting ベース CLI が無効、（3）公開実績があった環境では資格情報の再発行と痕跡確認が済んでいること。KEV 是正期限 2025-10-23 は経過しているため、残存していれば期限超過として扱う。
Jenkins Jenkins を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2017-1000353）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/10/23 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/15）。