CI/CD
4 artículos con esta etiqueta
Jenkins 2.588 y LTS 2.580.2 corrigen 15 fallos (CVE-2026-117612 a 117626): compruebe su versión y qué revisar tras actualizar
El 28 de octubre de 2026 el proyecto Jenkins publicó un aviso de seguridad que corrige 15 vulnerabilidades del núcleo de Jenkins (CVE-2026-117612 a CVE-2026-117626) en la versión semanal 2.588 y en LTS 2.580.2. Están afectadas la semanal 2.587 y anteriores y LTS 2.580.1 y anteriores. El aviso califica 13 como altas y 2 como medias. La mayoría exige algún permiso, como Overall/Read o Item/Configure (algunas configuraciones dan Overall/Read a usuarios anónimos). La excepción es CVE-2026-117618, una condición de carrera en el asistente de configuración que permite a un usuario no autenticado crear una cuenta de administrador durante la configuración inicial, lo que sube la prioridad de las instalaciones nuevas de Jenkins expuestas a internet. Las únicas mitigaciones que indica el aviso son ajustes para desactivar las nuevas comprobaciones si la actualización causa problemas y la aplicación obligatoria de la Política de Seguridad de Contenido, que limita el impacto conocido de tres fallos XSS; la solución es actualizar. Este sitio no encontró ningún informe creíble de explotación a fecha del 3 de noviembre, y ninguno de los 15 figura en el catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA. La conclusión de este sitio: confirme su versión de Jenkins, actualice a la 2.588 (LTS 2.580.2), mantenga Jenkins fuera de internet y a los usuarios anónimos sin permisos, y revise usuarios, administradores y agentes tras actualizar.
osv-scanner en la práctica: pnpm, ignorar CVE, modo sin conexión y los errores que te encuentras
Solo las preguntas del segundo día, respondidas según la documentación oficial. pnpm-lock.yaml está soportado; las exclusiones van en osv-scanner.toml bajo IgnoredVulns y pueden llevar fecha de caducidad; el modo sin conexión son tres opciones con tres funciones distintas. La visión de este sitio: un escáner informa de vulnerabilidades conocidas y no dice nada de que una versión que fijaste tú mismo se haya quedado antigua; para eso hace falta otro mecanismo.
Gusanos en la cadena de suministro de npm: cómo roban credenciales durante la instalación y cómo defenderse
Añadir una dependencia significa ejecutar código ajeno con tus privilegios, así que la defensa debe estar en el momento de la instalación. La opinión de este sitio: las firmas y la procedencia no detuvieron esta campaña, así que no pueden ser la base de la confianza. Lo que funciona es desactivar por defecto los scripts de instalación, dejar pasar unos días antes de adoptar una versión nueva y usar tokens de vida corta y alcance reducido. Y si sospechas una infección, el orden en que revocas importa.
Filtración de Codecov (2021) — cuando una herramienta de CI fue manipulada y se filtraron secretos
Una herramienta de confianza del CI (el Bash Uploader curl|bash) fue alterada en origen. Como tu propio código quedó intacto, pasó ~2 meses inadvertida mientras se filtraban secretos del CI; una verificación de checksum lo detectó. En tu CI: verifica los artefactos descargados, secretos de mínimo privilegio, rotación, monitorización de salida.