>>>> 漏洞名称：
>>>> 组件名称：
>>>> 漏洞类型：
>>>> 利用条件：
>>>> 综合评定利用难度：
>>>> 综合评定威胁等级：
漏洞分析
1
组件介绍
Jenkins是一个开源软件项目，是基于Java开发的一种持续集成工具，用于监控持续重复的工作，旨在提供一个开放易用的软件平台，使软件项目可以进行持续集成。
2
漏洞描述
Jenkins 有一个内置的命令行界面CLI，在处理 CLI 命令时Jenkins 使用args4j 库解析 Jenkins 控制器上的命令参数和选项。此命令解析器具有一个功能，可以将@参数中后跟文件路径的字符替换为文件内容 ( expandAtFiles)。具有Overall/Read权限的攻击者可以读取整个文件。
此功能默认启用，Jenkins 2.441 及更早版本、LTS 2.426.2 及更早版本默认不会禁用它。鉴于漏洞 exp 已公开，为避免您的资产受到影响，建议尽快安排修复升级方案。
影响范围
<= Jenkins 2.441、<= LTS 2.426.2
修复建议
1
官方修复建议
官方已发布新版本，修复了此漏洞。
https://www.jenkins.io/
2
青藤产品解决方案
参考链接
https://www.jenkins.io/security/advisory/2024-01-24/#SECURITY-3314
漏洞时间线
原文始发于微信公众号（青藤实验室）：【已复现】CVE-2024-23897 Jenkins 任意文件读取漏洞
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论