雲智維報報

Jenkins 存在多個漏洞 一、 摘要          Jenkins 存在多項安全漏洞，攻擊者可利用反序列化機制缺陷、權限檢查不足、路徑遍歷及符號連結處理不當等弱點，可能造成遠端執行任意程式碼、管理員帳號遭接管、敏感資料洩露、跨網站指令碼（XSS）及任意檔案讀寫等安全風險。 二 、存在風險         J enkins 存在多項安全漏洞，允許具備特定權限的攻擊者利用漏洞執行未經授權的操作，部分漏洞甚至可在未經身分驗證的情況下發動攻擊，可能導致 Jenkins 控制伺服器遭入侵、管理員帳號遭接管及敏感資訊外洩，其影響系統如下： 受影響之系統/漏洞描述： Jenkins Weekly 2.587 及之前版本。 Jenkins LTS 2.580.1 及之前版本。 三、建議改善措施          企業及使用者如有上述漏洞版本，應儘速更新至 Jenkins 官方提供之修補版本，以降低遭受漏洞攻擊之風險： Jenkins Weekly 請更新至 2.588 或之後版本。 Jenkins LTS 請更新至 2.580.2 或之後版本。 請盤點企業內部 Jenkins Controller 及 Agent 設備，確認目前安裝版本是否落於受影響範圍。 請檢查 Jenkins 使用者及角色權限設定，避免授予非必要的 Overall/Read、Item/Configure、Agent/Configure 等權限。 請檢查 Jenkins API Token 使用情形，定期撤銷不再使用或疑似外洩的 Token，並檢視異常登入紀錄。 請檢查 Jenkins 管理員帳號及使用者資料，確認是否存在未授權帳號建立或帳號設定遭竄改情形。  請檢查 Jenkins Controller 的檔案存取紀錄及設定檔，留意異常檔案讀取、建立、修改及符號連結操作。 若暫時無法更新，建議限制 Jenkins 管理介面及 API 的網路存取，僅允許可信任的管理網段連線，並儘速安排修補。         情資報告連結： https://www.jenkins.io/securi...

                                                    Jenkins 存在多個漏洞 一、 摘要           Jenkins 存在多個漏洞，允許遠端攻擊者利用這些漏洞，於目標系統觸發仿冒、阻斷服務狀況及洩露敏感資料。

                 Jenkins 存在多個漏洞 一、 摘要           Jenkins 存在多個漏洞，允許遠端攻擊者利用這些漏洞，於目標系統觸發資料篡改、阻斷服務狀況、洩露敏感資料及繞過身份驗證。

                                                                                                                                                                                                                                                       Jenkins 存在多個漏洞 一、 摘要           Jenkins 存在多個漏洞，允許遠端攻擊者利用這些漏洞，於目標系統觸發洩露敏感資料及繞過身份驗證。

                                                                                                                                                                                                                                        Jenkins 存在多個漏洞 一、 摘要           Jenkins 存在多個漏洞，允許遠端攻擊者利用這些漏洞，於目標系統觸發跨網站指令碼及洩露敏感資料。

                                                                                                                                                                                                                                  Jenkins 存在多個漏洞 一、 摘要           Jenkins 存在多個漏洞，允許遠端攻擊者利用這些漏洞，於目標系統觸發繞過身份驗證、跨網站指令碼及阻斷服務。

                                                                                                                                                                                                         Jenkins 存在多個漏洞 一、 摘要           Jenkins 存在多個漏洞，允許遠端攻擊者利用這些漏洞，於目標系統觸發繞過身份驗證及洩露敏感資料。

                                                                                                                                                      Jenkins 存在多個漏洞 一、 摘要          J enkins 存在多個漏洞，允許遠端攻擊者利用這些漏洞，於目標系統觸發跨網站指令碼、洩露敏感資料及繞過保安限制。

                                                                                                                                                                  Jenkins 存在多個漏洞 一、 摘要           Jenkins 存在多個漏洞，允許遠端攻擊者利用這些漏洞，於目標系統觸發遠端執行任意程式碼、洩露敏感資料、阻斷服務及繞過身份驗證。

     Jenkins 存在多個漏洞 一、 摘要          J enkins 存在多個漏洞，允許遠端攻擊者可利用這些漏洞，於目標系統觸發遠端執行任意程式碼、洩露敏感資料、跨網站指令碼及繞過保安限制 。其中CVE-2024-23897已被廣泛利用，其允許駭客利用CLI的任意檔案讀取漏洞，進而導致遠端執行任意程式碼。