转载

Jenkins漏洞处置建议CVE-2018-1999001,CVE-2018-1999002

阅读： 6

北京时间7月18日，Jenkins官方发布安全通告，修复了7个漏洞，其中包括一个严重漏洞（CVE-2018-1999001，Jenkins 配置文件路径改动导致管理员权限开放漏洞）和一个高危漏洞（CVE-2018-1999002，任意文件读取漏洞）。为保证Jenkins服务器的安全及其存储代码和构建过程数据的安全，强烈建议相关企业将Jenkins升级至最新版本。

文章目录

漏洞概述

Jenkins 是一款基于Java开发的开源的、用于持续集成和持续交付的自动化中间件，通过构建的pipeline持续、自动地构建/测试软件项目，并监控软件开发流程，快速问题定位及处理，使得开发者从繁杂的集成过程中解脱出来，专注于更为重要的业务功能实现。

漏洞编号	漏洞描述	官方漏洞评级
CVE-2018-1999001	Jenkins 配置文件路径改动导致未经身份验证的用户可越权获取管理员权限	严重
CVE-2018-1999002	任意文件读取漏洞	高危
CVE-2018-1999003	未授权用户可越权取消排队的构建	中危
CVE-2018-1999004	未授权用户可越权启动和中止代理启动	中危
CVE-2018-1999005	存储型XSS漏洞	中危
CVE-2018-1999006	未授权用户可越权确定何时从其JPI包中提取插件	中危
CVE-2018-1999007	Stapler调试模式下的XSS漏洞	中危

结合绿盟威胁情报的数据，有近万个公网资产应用了Jenkins服务，请相关单位及时关注。

Jenkins漏洞处置建议CVE-2018-1999001,CVE-2018-1999002

参考链接

 https://jenkins.io/security/advisory/2018-07-18/

影响范围

受影响的版本

Jenkins weekly 2.132 版本及以下
Jenkins LTS 2.121.1版本及以下

不受影响版本

Jenkins weekly 2.133版本
Jenkins LTS 2.121.2版本

解决方案

官方升级

官方在最新的版本中针对以上漏洞进行了修复，新版本下载链接如下：

Jenkins LTS 2.121.2	http://mirrors.jenkins.io/war-stable/latest/jenkins.war
Jenkins weekly 2.133	http://mirrors.jenkins.io/war/latest/jenkins.war

以CentOS系统下的Jenkins中间件升级为例，Jenkins默认安装的文件目录应该为：/usr/lib/jenkins，按照如下过程进行升级。

1、停止Jenkins服务，并对jenkins.war进行备份；

cd /usr/lib/jenkins

cp jenkins.war jenkins_bak.war

2、删除jenkins.war文件；

rm -f jenkins.war

3、下载最新版jenkins，并启动jenkins服务；

service jenkins start

Jenkins漏洞处置建议CVE-2018-1999001,CVE-2018-1999002

升级成功。

Jenkins漏洞处置建议CVE-2018-1999001,CVE-2018-1999002

附录A 漏洞简述

攻击者可利用CVE-2018-1999001漏洞从Jenkins主目录下移除 config.xml 配置文件到其他目录，当Jenkins 服务再次重启时，因加载不了config.xml中配置的安全域和授权策略，退回 legacy 模式，并且赋予匿名用户管理员访问权限。当攻击者获取Jenkins权限后，可查看构建历史数据，甚至可下载工作区的代码，导致核心代码泄露；攻击者在进入管理页面后，可通过“系统管理”下的“脚本命令行”功能，执行用于管理或故障探测或诊断的任意脚本命令，对Jenkins系统服务器产生比较严重的影响和危害。

Jenkins漏洞处置建议CVE-2018-1999001,CVE-2018-1999002

CVE-2018-1999002漏洞，可使得攻击者在Jenkins开启匿名用户访问权限的情况下，通过构造恶意的 HTTP 请求（在Accept-Language头部构造读取任意文件payload）发往 Jenkins Web 服务端，读取Jenkins用户权限下的任意文件。然而，默认安装的Jenkins配置中的匿名用户是没有可读权限，且对于安装在Linux环境下的Jenkins利用难度较大。

Jenkins漏洞处置建议CVE-2018-1999001,CVE-2018-1999002