一、 漏洞 CVE-2025-68702 基础信息
漏洞信息
# Jervis SHA-256填充漏洞
## 概述
Jervis 是一个用于 Job DSL 脚本和共享 Jenkins Pipeline 库的工具库。在版本 2.2 之前，其在处理 SHA-256 哈希值时存在字符串填充长度不足的问题。
## 影响版本
- 受影响版本：Jervis < 2.2
- 修复版本：Jervis 2.2 及以上
## 细节
Jervis 在处理 SHA-256 哈希时使用了 `padLeft(32, '0')`，但 SHA-256 输出为 32 字节，对应 64 个十六进制字符。因此，正确操作应使用 `padLeft(64, '0')` 以确保哈希值完整对齐。当前错误调用会导致哈希值截断或填充不足。
## 影响
该问题可能导致哈希标识不完整或冲突，影响构建标识、缓存机制或安全性相关功能，进而引发潜在的构建错误或逻辑漏洞。
神龙判断
是否为 Web 类漏洞： 未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Jervis has a SHA-256 Hex String Padding Bug
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Jervis is a library for Job DSL plugin scripts and shared Jenkins pipeline libraries. Prior to 2.2, Jervis uses padLeft(32, '0') when it should use padLeft(64, '0') because SHA-256 produces 32 bytes which equates to 64 hex characters. This vulnerability is fixed in 2.2.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
使用已被攻破或存在风险的密码学算法
来源：美国国家漏洞数据库 NVD
漏洞标题
Jervis 加密问题漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Jervis是Sam Gleske个人开发者的一个自动化工具。 Jervis 2.2之前版本存在加密问题漏洞，该漏洞源于使用padLeft(32, 0)而非padLeft(64, 0)处理SHA-256输出，可能导致十六进制表示错误。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
加密问题
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-68702 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
三、漏洞 CVE-2025-68702 的情报信息
标题： SHA-256 Hex String Padding Bug · Advisory · samrocketman/jervis · GitHub -- 🔗来源链接
标签：x_refsource_CONFIRM
神龙速读：### 漏洞关键信息 #### 漏洞概述 - **CVE ID**: CVE-2025-68702 - **严重性**: 高 #### 影响的包 - **Package**: net.gleske:jervis (Maven) - **受影响版本**: < 2.2 - **修复版本**: 2.2 #### 漏洞描述 - **问题代码**: `SecurityIO.groovy` 文件中 `sha256Sum` 方法的实现错误，导致哈希长度不一致。 - **具体问题**: `padLeft(32, '0')` 应该改为 `padLeft(64, '0')`，因为 SHA-256 生成 32 字节 = 64 个十六进制字符的哈希值。 #### 影响 - **不一致的哈希长度**: 当前前导字节为零时。 - **哈希比较失败**: 对于带有前导零的哈希值。 - **潜在的安全问题**: 在基于哈希的比较中。 - **可能导致微妙的 bug**: 在依赖一致哈希长度的系统中。 #### 修复措施 - **升级到 Jervis 2.2** 版本。 #### 解决方案 - 使用其他 SHA-256 哈希函数或进行升级。
标题： Merge branch 'advisory-fix-1' · samrocketman/jervis@c3981ff · GitHub -- 🔗来源链接
标签：x_refsource_MISC
- https://nvd.nist.gov/vuln/detail/CVE-2025-68702
四、漏洞 CVE-2025-68702 的评论
暂无评论