Jenkins Security Advisory: Multiple High-Severity Vulnerabilities (RCE/CSRF/XSS) Fix Guide

以下是该网页截图中关于漏洞的关键信息总结： --- 漏洞概述 Jenkins 2026-08-05 安全公告披露了多个高危漏洞，涵盖核心及多个插件，主要问题包括： 反序列化绕过：Remoting 库未正确应用 JEP-200 过滤器，允许攻击者执行任意代码。 符号链接滥用：可创建指向任意路径的符号链接，实现文件写入或代码执行。 路径遍历：文件参数未校验路径，可写入系统任意位置。 大小写敏感缺陷：用户名/组名比较不区分大小写，可能导致权限提升。 配置实例化滥用：拥有 Overall/Manage 权限者可实例化任意配置对象。 Groovy 脚本沙箱绕过：Multijob 插件允许执行未沙箱化的 Groovy 代码。 CSRF 漏洞：Multijob、SCM-Manager 等插件未验证 POST 请求，可触发恶意操作。 权限缺失：多个插件（HCL AppScan、External Workspace Manager、Parameterized Remote Trigger、XML Job to Job DSL）未检查权限，可枚举凭证或读取工作区。 时序攻击：Webhook Secret Credentials Provider 插件使用非恒定时间比较，可被统计方法破解。 存储型 XSS：Qualys、Summary Display 插件未转义用户输入，可注入恶意脚本。 凭证泄露：Google Chat Notification 插件错误使用系统级凭证。 --- 影响范围 核心组件 Jenkins 2.575 及更早版本 LTS 2.568.1 及更早版本 受影响插件及版本 --- 修复方案 核心修复 Jenkins 2.576 和 LTS 2.568.2 已修复大部分漏洞。 对 Remoting 库：在 fallback 路径中应用 JEP-200 过滤器。 对符号链接：拒绝提取含有效空名的 .tar/.tar.gz 文件。 对路径遍历：改进文件路径识别，防止写入任意位置。 对大小写敏感：使用规范形式比较用户名/组名。 对配置实例化：限制仅允许管理员实例化特定类型。 对 Groovy 脚本：集成 Script Security 插件强制沙箱化。 对 CSRF：要求 POST 请求并添加权限校验。 对权限缺失：添加适当权限检查。 对时序攻击：使用恒定时间比较函数。 对 XSS：转义用户输入。 对凭证泄露：设置正确的上下文用于凭证查找。 插件修复 Multijob Plugin：≥ 677.v7ffc23d6a_4c2 HCL AppScan Plugin：≥ 1.8.4 SCM-Manager Plugin：≥ 1.12.1 External Workspace Manager Plugin：≥ 1.4.2 Webhook Secret Credentials Provider Plugin：≥ 32.v09cb_522f0a_8 Parameterized Remote Trigger Plugin：无修复（公告时） XML Job to Job DSL Plugin：无修复（公告时） Qualys Container Scanning Connector Plugin：无修复（公告时） Summary Display Plugin：无修复（公告时） Google Chat Notification Plugin：无修复（公告时） > 注：部分插件暂无修复，建议参考官方公告了解后续计划。 --- POC / 利用代码 页面中未提供具体 POC 或 exploit 代码块。 --- ✅ 建议立即升级至最新稳定版或 LTS 版本，并检查受影响插件是否已更新。

目標達成 すべての支援者に感謝 — 100%達成しました！

Jenkins Security Advisory: Multiple High-Severity Vulnerabilities (RCE/CSRF/XSS) Fix Guide

目標達成すべての支援者に感謝 — 100%達成しました！