一 漏洞概述

1.1简介

      Jenkins 是一款基于Java开发的开源的、用于持续集成和持续交付的自动化中间件，通过构建的pipeline持续、自动地构建/测试软件项目，并监控软件开发流程，快速问题定位及处理，使得开发者从繁杂的集成过程中解脱出来，专注于更为重要的业务功能实现

      Jenkins官方发布安全通告，修复了7个漏洞，其中包括一个严重漏洞（CVE-2018-1999001，Jenkins 配置文件路径改动导致管理员权限开放漏洞）和一个高危漏洞（CVE-2018-1999002，任意文件读取漏洞）。为保证Jenkins服务器的安全及其存储代码和构建过程数据的安全，强烈建议相关企业将Jenkins升级至最新版本。

1.2漏洞危害

     Jenkins官方发布安全通告，修复了7个漏洞，其中包括一个严重漏洞（CVE-2018-1999001，Jenkins 配置文件路径改动导致管理员权限开放漏洞）和一个高危漏洞（CVE-2018-1999002，任意文件读取漏洞）。为保证Jenkins服务器的安全及其存储代码和构建过程数据的安全，强烈建议相关企业将Jenkins升级至最新版本。

 

      CVE-2018-1999002漏洞，可使得攻击者在Jenkins开启匿名用户访问权限的情况下，通过构造恶意的 HTTP 请求（在Accept-Language头部构造读取任意文件payload）发往 Jenkins Web 服务端，读取Jenkins用户权限下的任意文件。

 

1.3 漏洞编号

漏洞编号	漏洞描述	官方漏洞评级
CVE-2018-1999001	Jenkins 配置文件路径改动导致未经身份验证的用户可越权获取管理员权限	严重
CVE-2018-1999002	任意文件读取漏洞	高危
CVE-2018-1999003	未授权用户可越权取消排队的构建	中危
CVE-2018-1999004	未授权用户可越权启动和中止代理启动	中危
CVE-2018-1999005	存储型XSS漏洞	中危
CVE-2018-1999006	未授权用户可越权确定何时从其JPI包中提取插件	中危
CVE-2018-1999007	Stapler调试模式下的XSS漏洞	中危

 

1.4 影响版本

• Jenkins weekly 2.132 版本及以下
• Jenkins LTS 2.121.1版本及以下

 

二 漏洞影响

     根据 ZoomEye 网络空间搜索引擎对 WebLogic 服务的搜索结果，共找到 816,301 条历史记录。

 

 

三 修复方案

1.官方修复

官方在最新的版本中针对以上漏洞进行了修复，新版本下载链接如下：

Jenkins LTS 2.121.2	http://mirrors.jenkins.io/war-stable/latest/jenkins.war
Jenkins weekly 2.133	http://mirrors.jenkins.io/war/latest/jenkins.war

以CentOS系统下的Jenkins中间件升级为例，Jenkins默认安装的文件目录应该为：/usr/lib/jenkins，按照如下过程进行升级。

1、停止Jenkins服务，并对jenkins.war进行备份；

service jenkins stop cd /usr/lib/jenkins cp jenkins.war jenkins_bak.war

2、删除jenkins.war文件；

rm -f jenkins.war

3、下载最新版jenkins，并启动jenkins服务；

wget http://mirrors.jenkins.io/war-stable/latest/jenkins.war service jenkins start

2.技术业务咨询

知道创宇技术业务咨询热线：400-060-9587（政府、国有企业）

                                               028-68360638（互联网企业）