漏洞分析 | Jenkins 未授权文件读取漏洞(CVE-2024-23897)

发布网友发布时间：1天前

共1个回答

热心网友时间：12小时前

本文深入剖析Jenkins未授权文件读取漏洞（CVE-2024-23897）。Jenkins是一个广受欢迎的开源持续集成（CI）与持续交付（CD）工具，它能显著提升软件开发团队的效率与质量。Jenkins提供了一个命令行接口，允许从脚本或shell环境执行，通过下载并调用jenkins-cli.jar文件，用户能执行Jenkins功能。此接口在服务端解析命令行参数，使用了第三方库args4j，它具备解析Linux中文件名功能，但Jenkins服务端在解析命令行参数时未正确过滤，导致文件读取漏洞。漏洞利用需要在Jenkins启动时设置DEBUG=1环境变量。该漏洞影响Jenkins 2.441及更早版本。部署环境使用了Docker-compose.yaml，其中包含Jenkins版本2.441。攻击流程包括本地搭建Docker环境后，下载jenkins-cli.jar并执行攻击。解决措施为更新至最新版本，Jenkins 2.442与LTS 2.426.3版本已禁用相关命令解析器功能。此外，实施网络访问控制策略，通过配置防火墙规则限制非信任IP的访问，保障Jenkins服务器安全。