全部产品
Search
文档中心

【漏洞公告】CVE-2017-2608:Jenkins远程代码执行漏洞

更新时间: 2018-05-10

2017年2月1日,Jenkins官方发布了新一轮的安全漏洞公告,该公告包括18个不同等级的安全漏洞。其中,1个高危漏洞可以导致使用Jenkins用户遭受远程代码执行攻击,存在严重的安全分风险,目前官方已经发布了修复该漏洞的产品版本。

漏洞详情见下文。


漏洞编号

CVE-2017-2608

漏洞名称

Jenkins远程代码执行漏洞

官方评级

高危

漏洞描述

此漏洞存在于XStream API,(例如,XStream/createitem URL/config.xml远程API),攻击者可以通过该漏洞成功发起远程代码执行攻击,严重情况下可以获取服务器权限。

漏洞影响范围

  • 所有已发布的Jenkins版本,包括 2.43
  • 所有已发布的Jenkins LTS版本,包括2.32.1

漏洞修复建议(或缓解措施)

  • 配置安全组策略,控制Jenkins的访问范围。建议仅内网或本地管理员可访问,禁止对互联网发布。
  • 升级Jenkins到最新版本:
    • Jenkins主版本用户升级到2.44及以上版本。
    • Jenkins LTS版本用户升级到2.32.2及以上版本 。

情报来源

https://wiki.jenkins-ci.org/display/SECURITY/Jenkins+Security+Advisory+2017-02-01