【漏洞通告】Jenkins跨站脚本漏洞CorePlague

一、漏洞概述

CVE   ID	CVE-2023-27898	发现时间	2023-03-09
类     型	XSS	等     级	高危
远程利用	是	所需权限	无
攻击复杂度	低	用户交互	是
PoC/EXP	未公开	在野利用	否

Jenkins是一个开源软件项目，它是基于Java开发的一种持续集成工具，用于监控持续重复的工作，旨在提供一个开放易用的软件平台，使软件项目可以进行持续集成。

3月9日，启明星辰VSRC监测到Jenkins官方发布安全公告，修复了Jenkins Server和Update Center中发现的2个跨站脚本漏洞（CVE-2023-27898和CVE-2023-27905，统称为“CorePlague”）。未经身份验证的威胁者可利用这些漏洞在受害者的 Jenkins Server上执行任意代码，可能导致 Jenkins Serve被完全破坏，漏洞详情如下：

CVE-2023-27898：Jenkins Plugin Manager跨站脚本漏洞（高危）

Jenkins 2.270-2.393、LTS 2.277.1- 2.375.3在插件管理器中呈现错误消息，说明其与当前版本的Jenkins不兼容时，不会转义插件所依赖的 Jenkins 版本，可能导致受到存储型XSS漏洞攻击，威胁者可利用该漏洞向配置的更新站点提供插件，并让Jenkins实例显示此消息。

CVE-2023-27905：Jenkins update-center2 跨站脚本漏洞（中危）

update-center2是用于生成updates.Jenkins.io上托管的Jenkins更新站点的工具。

update-center2 某些版本在插件下载索引页面上呈现所需的 Jenkins 核心版本，该版本取自插件元数据，未经清理，可能导致受到存储型XSS漏洞攻击来提供托管插件，但利用该漏洞需同时满足以下条件：

1.需要启用下载页面的生成（即--download-links-directory需要设置参数）。

2.必须使用自定义下载页面模板（--index-template-url参数），且所使用的模板不得通过Content-Security-Policy阻止JavaScript执行。默认模板通过声明一个限制性的Content-Security-Policy来防止利用。

二、影响范围

Jenkins Server版本：2.270 - 2.393、LTS 2.277.1 - 2.375.3

Jenkins update-center2 版本：<= 3.14

三、安全措施

3.1 升级版本

目前这些漏洞已经修复，受影响用户可升级到以下版本：

Jenkins Server版本：升级到 2.394、LTS 2.375.4 或LTS 2.387.1。

Jenkins update-center2版本：升级到3.15。

下载链接：

https://www.jenkins.io/download/

3.2 临时措施

暂无。

3.3 通用建议

定期更新系统补丁，减少系统漏洞，提升服务器的安全性。

加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。

使用企业级安全产品，提升企业的网络安全性能。

加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。

启用强密码策略并设置为定期修改。

3.4 参考链接

https://www.jenkins.io/security/advisory/2023-03-08/

https://blog.aquasec.com/jenkins-server-vulnerabilities

https://thehackernews.com/2023/03/jenkins-security-alert-new-security.html

原文始发于微信公众号（维他命安全）：【漏洞通告】Jenkins跨站脚本漏洞CorePlague