CVE-2023-27898/27905：Jenkins跨站脚本漏洞通告

2023年03月09日，360CERT监测发现Jenkins发布了Server,update-center2的风险通告，漏洞编号为CVE-2023-27898,CVE-2023-27905，漏洞等级：高危，漏洞评分：7。

Jenkins是一个开源软件项目，它是基于Java开发的一种持续集成工具，用于监控持续重复的工作，旨在提供一个开放易用的软件平台，使软件项目可以进行持续集成。

对此，360CERT建议广大用户及时请做好资产自查以及预防工作，以免遭受黑客攻击。

360CERT对该漏洞的评定结果如下

CVE-2023-27898 Jenkins Plugin Manager跨站脚本漏洞

组件: Jenkins:Server

漏洞类型: XSS

实际影响: 执行JS代码

主要影响: 劫持浏览器行为

简述: 该漏洞存在于Jenkins 2.270-2.393、LTS 2.277.1- 2.375.3插件管理器中，是一个跨站脚本漏洞。当插件管理器中呈现错误消息时，未转义其部分字段信息，导致受到存储型XSS漏洞攻击，攻击者可利用该漏洞向配置的更新站点提供插件，并让Jenkins页面显示此消息进而触发漏洞。

CVE-2023-27905 Jenkins update-center2 跨站脚本漏洞

组件: Jenkins:update-center2

漏洞类型: XSS

实际影响: 执行JS代码

主要影响: 劫持浏览器行为

简述: 该漏洞存在于update-center2中，是一个跨站脚本漏洞。update-center2 在提取插件元数据时未经过校验，攻击者通过上传特制的文件时可能导致触发存储型XSS漏洞，进而完成对页面功能的任意操作。

通用修补建议

根据影响版本中的信息，排查并升级到安全版本，或直接访问参考链接获取官方更新指南. 下载链接：https://www.jenkins.io/download/

2023年03月08日 Jenkins官方发布通告

2023年03月09日 360CERT发布通告

1、 https://www.jenkins.io/security/advisory/2023-03-08/

一直以来，360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务，现360CERT推出了安全通告特制版报告订阅服务，以便用户做资料留存、传阅研究与查询验证。

今后特制报告将不再提供公开下载，用户可扫描下方二维码进行服务订阅。