Jenkins 安全漏洞威胁

关键要点

开源自动化服务器 Jenkins 存在关键安全漏洞，已被多个安全研究人员发布了概念验证利用代码。漏洞编号 CVE202423897，攻击者可以利用这一漏洞读取服务器任意文件中的数据。相关的跨站 WebSocket 劫持漏洞也被发现，并进行追踪。此漏洞可能导致 SSH 密钥、项目机密及凭证等被泄露。

据 BleepingComputer 报告，多个网络安全研究人员已经在 GitHub 上发布了针对一个影响开源自动化服务器 Jenkins 的关键漏洞的 概念验证利用代码。 根据 SonarSource 研究人员的说法，该漏洞可被持有“整体/读取”权限的攻击者利用，漏洞被追踪为 CVE202423897，能够从服务器的任意文件中读取数据。研究人员解释说：“从任意文件读取实现代码执行取决于具体的上下文。”

小火箭节点购买

他们还指出，威胁行为者可能会因此破坏 SSH 密钥、项目机密、凭证、源代码和构建工件等信息。虽然这两个安全缺陷已经得到修复，但是恶意活动的潜在利用仍在进行中，Jenkins 蜜罐检测到了一些恶意活动的迹象。恶意行为者也可以轻松使用已经被大部分验证的概念验证利用代码来启动恶意活动。

更详细的信息

漏洞编号漏洞类型风险CVE202423897任意文件读取漏洞可能导致泄露 SSH 密钥及敏感数据CVE2024XXXXXX跨站 WebSocket 劫持漏洞威胁应用程序和用户的安全

从有效的利用代码开始，攻击者可能会开始诸如获取敏感数据和破坏系统的恶意活动。保护好您的服务器是至关重要的！