CVE-2016-0792
— 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Jenkins API端点存在**反序列化漏洞**。
💥 **后果**：远程攻击者可通过构造恶意XML文件，利用其中的序列化数据，实现**任意代码执行** (RCE)。
Q2根本原因？（CWE/缺陷点）
🔍 **缺陷点**：**Java反序列化**处理不当。
📝 **CWE**：数据中未提供具体CWE ID，但核心在于**XStream库**对不安全反序列化对象的解析。
Q3影响谁？（版本/组件）
📦 **受影响组件**：**CloudBees Jenkins CI** 及 **LTS (长期支持版)**。
📅 **危险版本**：
- CI版本 < **1.650**
- LTS版本 < **1.642.2**
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：
- **权限**：获得Jenkins服务器级别的**系统权限**。
- **数据**：可执行任意命令，完全控制服务器，窃取敏感数据或部署后门。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：**低**。
- **认证**：数据描述为“远程攻击者”，暗示可能无需高权限认证即可触发API端点漏洞。
- **配置**：需发送特定格式的XML序列化数据。
Q6有现成Exp吗？（PoC/在野利用）
💣 **现成Exp**：**有**。
- GitHub上有多款PoC（如 `jpiechowka/jenkins-cve-2016-0792`）。
- Exploit-DB收录编号：**42394**。
- 依赖：Python 3.6+ 及 `requests` 库。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1. 检查Jenkins版本是否低于 **1.650** (CI) 或 **1.642.2** (LTS)。
2. 扫描API端点是否响应特定的序列化测试载荷。
3. 使用Nessus等扫描器检测Jenkins反序列化漏洞。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：**已修复**。
- 官方发布了安全公告 (Jenkins Security Advisory 2016-02-24)。
- RedHat发布了 errata (RHSA-2016:0711, RHSA-2016:1773)。
- **解决方案**：升级Jenkins至安全版本。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**：
- 若无法立即升级，建议**禁用**受影响的API端点。
- 配置防火墙，限制对Jenkins API的访问来源。
- 移除不必要的插件以减少攻击面。
Q10急不急？（优先级建议）
🔥 **优先级**：**极高 (Critical)**。
- 该漏洞允许**远程任意代码执行**，无需复杂交互。
- 已有公开Exploit，被广泛利用。
- **建议**：立即升级或应用缓解措施。