CI/CD
4 artigos com esta tag
Jenkins 2.588 e LTS 2.580.2 corrigem 15 falhas (CVE-2026-117612 a 117626): confira sua versão e o que revisar após atualizar
Em 28 de outubro de 2026 o projeto Jenkins publicou um aviso de segurança corrigindo 15 vulnerabilidades no núcleo do Jenkins (CVE-2026-117612 a CVE-2026-117626) na versão semanal 2.588 e na LTS 2.580.2. Estão afetadas a semanal 2.587 e anteriores e a LTS 2.580.1 e anteriores. O aviso classifica 13 como altas e 2 como médias. A maioria exige alguma permissão, como Overall/Read ou Item/Configure (algumas configurações concedem Overall/Read a usuários anônimos). A exceção é a CVE-2026-117618, uma condição de corrida no assistente de configuração que permite a um usuário não autenticado criar uma conta de administrador durante a configuração inicial, o que aumenta a prioridade das instalações novas do Jenkins expostas à internet. As únicas medidas que o aviso lista são ajustes para desligar as novas verificações se a atualização causar problemas e a aplicação obrigatória da Política de Segurança de Conteúdo, que limita o impacto conhecido de três falhas XSS; a correção é atualizar. Este site não encontrou nenhum relato confiável de exploração em 3 de novembro, e nenhuma das 15 está no catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) da CISA. A conclusão deste site: confirme a versão do seu Jenkins, atualize para a 2.588 (LTS 2.580.2), mantenha o Jenkins fora da internet e os usuários anônimos sem permissões, e revise usuários, administradores e agentes depois de atualizar.
osv-scanner na prática — pnpm, ignorar CVEs, modo offline e os erros que aparecem
Só as dúvidas do segundo dia, respondidas com base na documentação oficial. O pnpm-lock.yaml é suportado; exceções ficam no osv-scanner.toml em IgnoredVulns e podem ter data de validade; o modo offline são três flags com três funções diferentes. A visão deste site: um scanner relata vulnerabilidades conhecidas e não diz nada sobre uma versão que você mesmo fixou ficando desatualizada — isso exige um mecanismo separado.
Worms na cadeia de suprimentos do npm: como as credenciais são roubadas na instalação e como se defender
Adicionar uma dependência significa executar o código de outra pessoa com os seus privilégios, então a defesa precisa estar no momento da instalação. A visão deste site: assinaturas e proveniência não detiveram esta campanha, então não podem ser a base da confiança. O que funciona é desativar os scripts de instalação por padrão, esperar alguns dias antes de adotar uma nova versão e manter os tokens com vida curta e escopo restrito. E, se você suspeitar de infecção, a ordem em que revoga as credenciais importa.
Vazamento da Codecov (2021) — quando uma ferramenta de CI foi adulterada e segredos vazaram
Uma ferramenta de CI confiável (o Bash Uploader curl|bash) foi alterada na origem. Como o seu próprio código permaneceu intocado, passou despercebido por cerca de 2 meses enquanto segredos de CI vazavam; uma verificação de checksum o pegou. No seu CI: verifique artefatos baixados, segredos de menor privilégio, rotação, monitoramento de egress.