Jenkins CLI CVE-2024-23897 任意文件读取漏洞通告
漏洞概述近日，华为感知到Jenkins官方修复了Jenkins CLI存在的一个任意文件读取漏洞，编号为CVE-2024-23897。远程且未经身份认证的攻击者可以通过发送精心构造的恶意请求来利用此漏洞，成功的漏洞利用可能导致威胁者读取 Jenkins 控制器文件系统上的任意文件，或进一步利用该漏洞在多种情况下导致远程代码执行。 Jenkins是一款由Java编写的开源的持续集成工具，内置了一个命令行界面（CLI），可从脚本或shell环境访问Jenkins。该漏洞是由于处理CLI命令时，Jenkins使用args4j库解析Jenkins控制器上的命令参数和选项，特定的解析器功能expandAtFiles可将@参数中文件路径的字符替换为文件内容。鉴于此漏洞危害严重且影响范围较大，建议广大用户及时参考厂商提供的解决方案，做好风险排查及防护，避免遭受黑客的攻击。 关键信息
受影响的版本- Jenkins 2.441 以及更早期版本 - LTS 2.426.2 以及更早期版本 解决方案1. 华为解决方案 华为在感知到该漏洞信息以后，安全研究人员持续关注此漏洞相关信息，复现漏洞PoC（Proof-of-Concept），并立即开发IPS防护签名。目前最新IPS签名库已推送到升级网站，可供客户升级使用。
2. 厂商解决方案 升级软件版本到官网最新（已修复）版本： https://www.jenkins.io/download/ 参考链接https://www.jenkins.io/security/advisory/2024-01-24/ |
