CVE-2019-10392
— 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Git Client Plugin 存在 **OS命令注入** 缺陷。
💥 **后果**：攻击者可利用该漏洞在目标服务器上 **执行任意操作系统命令**，直接导致 **RCE（远程代码执行）**。
Q2根本原因？（CWE/缺陷点）
🔍 **缺陷点**：插件在处理 Git 客户端操作时，未对用户输入进行严格过滤或转义。
📉 **CWE**：数据中未明确指定 CWE ID，但属于典型的 **命令注入** 类漏洞。
Q3影响谁？（版本/组件）
📦 **组件**：CloudBees Jenkins **Git Client Plugin**。
📅 **版本**：**2.8.4 及之前版本**（如 PoC 中使用的 2.8.2 版本）。
Q4黑客能干啥？（权限/数据）
👑 **权限**：获得 **操作系统级别** 的权限。
📂 **数据**：可读取、修改或删除服务器上的 **任何文件**，甚至控制整个 Jenkins 主机。
Q5利用门槛高吗？（认证/配置）
🔑 **门槛**：**中等**。
✅ **认证**：需要 **Jenkins 登录权限**（Authenticated），非匿名利用。
⚙️ **配置**：需安装特定版本的 Git Client Plugin。
Q6有现成Exp吗？（PoC/在野利用）
💻 **Exp**：**有现成 PoC/Exp**。
🔗 参考链接：`jas502n/CVE-2019-10392` 和 `ftk-sostupid/CVE-2019-10392_EXP`，包含 Docker 启动脚本和自动化利用工具。
Q7怎么自查？（特征/扫描）
🔎 **自查**：
1. 检查 Jenkins 插件列表。
2. 确认 **Git Client Plugin** 版本是否 **≤ 2.8.4**。
3. 使用扫描工具检测 Jenkins 实例的插件版本。
Q8官方修了吗？（补丁/缓解）
🛡️ **修复**：**官方已发布补丁**。
📢 参考：Jenkins Security Advisory **2019-09-12** (SECURITY-1534)。
✅ **措施**：升级 Git Client Plugin 至 **2.8.5 或更高版本**。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
1. **升级插件**至最新版本。
2. 若无法升级，限制 Jenkins **访问权限**，仅允许可信 IP 访问。
3. 移除不必要的 Git 相关插件或功能。
Q10急不急？（优先级建议）
⚡ **优先级**：**高**。
🔥 **理由**：RCE 漏洞危害极大，且 **Exp 公开**，攻击成本低（仅需认证）。建议 **立即修复**，防止服务器被控。