漏洞分享 - Jenkins 存在多個漏洞

Jenkins 存在多個漏洞

一、摘要

        Jenkins 存在多項安全漏洞，攻擊者可利用反序列化機制缺陷、權限檢查不足、路徑遍歷及符號連結處理不當等弱點，可能造成遠端執行任意程式碼、管理員帳號遭接管、敏感資料洩露、跨網站指令碼（XSS）及任意檔案讀寫等安全風險。

二、存在風險

        Jenkins 存在多項安全漏洞，允許具備特定權限的攻擊者利用漏洞執行未經授權的操作，部分漏洞甚至可在未經身分驗證的情況下發動攻擊，可能導致 Jenkins 控制伺服器遭入侵、管理員帳號遭接管及敏感資訊外洩，其影響系統如下：

• 受影響之系統/漏洞描述：
• Jenkins Weekly 2.587 及之前版本。
• Jenkins LTS 2.580.1 及之前版本。

三、建議改善措施

        企業及使用者如有上述漏洞版本，應儘速更新至 Jenkins 官方提供之修補版本，以降低遭受漏洞攻擊之風險：

• Jenkins Weekly 請更新至 2.588 或之後版本。
• Jenkins LTS 請更新至 2.580.2 或之後版本。
• 請盤點企業內部 Jenkins Controller 及 Agent 設備，確認目前安裝版本是否落於受影響範圍。
• 請檢查 Jenkins 使用者及角色權限設定，避免授予非必要的 Overall/Read、Item/Configure、Agent/Configure 等權限。
• 請檢查 Jenkins API Token 使用情形，定期撤銷不再使用或疑似外洩的 Token，並檢視異常登入紀錄。
• 請檢查 Jenkins 管理員帳號及使用者資料，確認是否存在未授權帳號建立或帳號設定遭竄改情形。
•  請檢查 Jenkins Controller 的檔案存取紀錄及設定檔，留意異常檔案讀取、建立、修改及符號連結操作。
• 若暫時無法更新，建議限制 Jenkins 管理介面及 API 的網路存取，僅允許可信任的管理網段連線，並儘速安排修補。

        情資報告連結：

• https://www.jenkins.io/security/advisory/2026-10-28/