Jenkins 2026-08 高危安全公告: 反序列化/路径遍历/权限绕过等

以下是该网页截图中关于漏洞的关键信息总结： --- 漏洞概述 Jenkins 2026-08-05 安全公告披露了多个高危漏洞，涵盖核心及多个插件，主要问题包括： 反序列化绕过：Remoting 库未正确应用 JEP-200 类过滤器，允许攻击者执行任意代码。 符号链接滥用：可创建指向任意路径的符号链接，实现任意文件写入。 路径遍历：文件参数未校验路径，导致可写入任意位置。 大小写敏感处理缺陷：用户名/组名比较不区分大小写，可能导致权限提升。 配置实例化限制缺失：拥有 Overall/Manage 权限者可实例化任意配置对象。 Groovy 脚本沙箱绕过：Multijob 插件允许执行未沙箱化的 Groovy 代码。 CSRF 漏洞：Multijob、SCM-Manager 等插件未验证 POST 请求，可触发恶意操作。 权限检查缺失：多个插件（HCL AppScan、External Workspace Manager、Parameterized Remote Trigger、XML Job to Job DSL）未检查权限，可枚举凭证或读取工作区文件。 Webhook 令牌比较非恒定时间：可能导致侧信道攻击。 存储型 XSS：Qualys、Summary Display 插件未转义用户输入，可注入恶意脚本。 系统级凭证泄露：Google Chat 插件未设置适当上下文，导致系统级凭证被误用。 --- 影响范围 核心组件 Jenkins 2.575 及更早版本 LTS 2.568.1 及更早版本 受影响插件（部分） --- 修复方案 核心修复 Jenkins 2.576 / LTS 2.568.2： - 应用 JEP-200 类过滤器到 fallback 路径 - 拒绝提取含符号链接的 / 文件 - 改进文件路径路径遍历检测 - 使用规范形式比较用户名/组名 - 限制配置实例化类型 插件修复 > ⚠️ 部分插件无官方修复，建议临时禁用或限制权限。 --- POC / 利用代码 页面中未提供具体 POC 或 exploit 代码，但描述了攻击场景： 示例攻击路径（文字描述）： 1. 反序列化绕过： > “攻击者可通过 Agent/Connect 权限绕过 JEP-200 过滤器，在控制器上执行任意代码。” 2. 符号链接文件写入： > “攻击者可创建指向 或 的符号链接，实现恶意脚本部署或插件替换。” 3. 路径遍历： > “攻击者可构造恶意文件参数，写入任意系统路径，如 。” 4. CSRF 利用： > “攻击者可构造跨站请求，触发 Multijob 或 SCM-Manager 的表单端点，执行未授权操作。” 5. XSS 利用： > “攻击者可在 Qualys 或 Summary Display 插件中输入恶意 JavaScript，当其他用户查看时触发。” 6. 凭证枚举： > “攻击者可通过 HTTP 端点枚举存储在 Jenkins 中的凭证 ID，用于后续攻击。” --- 其他说明 所有漏洞均通过 Jenkins Bug Bounty Program 报告，由欧盟委员会赞助。 部分漏洞因“无修复”而公开，建议用户参考 Learn why we announce this 了解原因。 建议立即升级至修复版本，或采取临时缓解措施（如禁用相关插件、限制权限、启用 CSRF 保护等）。 --- ✅ 总结完毕

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Jenkins 2026-08 高危安全公告: 反序列化/路径遍历/权限绕过等

目标达成感谢每一位支持者 — 我们达成了 100% 目标！