01 漏洞概况
Jenkins 有一个内置的命令行界面(CLI),可从脚本或 shell 环境访问 Jenkins。处理 CLI 命令时 Jenkins 使用args4j 库解析 Jenkins 控制器上的命令参数和选项。由于Jenkins受影响版本中默认启用其CLI命令解析器的一个功能,特定的解析器功能expandAtFiles可将@参数中后跟文件路径的字符替换为文件内容,可能导致威胁者读取 Jenkins 控制器文件系统上的任意文件,或可以进一步利用该漏洞在多种情况下导致远程代码执行。
02 漏洞处置
综合处置优先级:高
漏洞信息
漏洞名称
Jenkins任意文件读取漏洞
漏洞编号
CVE编号
CVE-2024-23897
漏洞评估
披露时间
2024-01-24
漏洞类型
文件读取
危害评级
严重
公开程度
PoC已公开
威胁类型
远程
利用情报
在野利用
是
影响产品
产品名称
Jenkins
受影响版本
Jenkins<=2.441、Jenkins<=LTS2.426.2
影响范围
广
有无修复补丁
有
01 漏洞概况
02 漏洞处置
综合处置优先级:高
漏洞信息 |
漏洞名称 |
Jenkins任意文件读取漏洞 |
漏洞编号 |
CVE编号 |
CVE-2024-23897 |
漏洞评估 |
披露时间 |
2024-01-24 |
漏洞类型 |
文件读取 |
|
危害评级 |
严重 |
|
公开程度 |
PoC已公开 |
|
威胁类型 |
远程 |
|
利用情报 |
在野利用 |
是 |
影响产品 |
产品名称 |
Jenkins |
受影响版本 |
Jenkins<=2.441、Jenkins<=LTS2.426.2 |
|
影响范围 |
广 |
|
有无修复补丁 |
有 |
03 漏洞排查
用户尽快排查应用系统Jenkins应用版本是否<=2.441或者<=LTS2.426.2。若存在应用使用,极大可能会受到影响。
04 修复方案
1、官方修复方案:
当前官方已发布最新版本,建议受影响的用户及时更新升级到最新版本。链接如下:
https://www.jenkins.io/download/
2、临时修复方案:
(1) 禁用对 CLI 的访问;
05 时间线
2024.01.24 厂商发布安全补丁
2024.01.29 安迈信科安全运营团队发布通告
原文始发于微信公众号(安迈信科应急响应中心):【漏洞通告】Jenkins任意文件读取漏洞
03 漏洞排查
04 修复方案
当前官方已发布最新版本,建议受影响的用户及时更新升级到最新版本。链接如下:
https://www.jenkins.io/download/
(1) 禁用对 CLI 的访问;
05 时间线
原文始发于微信公众号(安迈信科应急响应中心):【漏洞通告】Jenkins任意文件读取漏洞
- 左青龙
- 微信扫一扫
- 右白虎
- 微信扫一扫
评论