Jenkins任意文件读取漏洞修复

漏洞描述

【高】Jenkins CLI 任意文件读取漏洞导致远程代码执行风险
Jenkins CLI 是 Jenkins 内置的命令行页面。 Jenkins 受影响版本中使用 args4j 库解析CLI命令参数，该库默认将参数中 @ 字符后的文件路径替换为文件内容，攻击者可利用该特性使用 Jenkins 控制器进程的默认字符编码读取 Jenkins 控制器文件系统上的任意文件(如加密密钥的二进制文件)，并结合 Resource Root URL、Remember me cookie、存储型 XSS 或 CSRF 等在 Jenkins 控制器中执行任意代码。 Jenkins 2.442, LTS 2.426.3 版本通过禁用命令解析器读取 @ 字符后文件路径的特性修复此漏洞。

公开时间： 2024/01/24

CVE编号： CVE-2024-23897

漏洞类型：路径遍历

漏洞等级：高

利用可能性：中

攻击向量： -

攻击成本：中

影响范围：一般

有无PoC/EXP：无

情报来源： OSCS社区

影响组件：

1.org.jenkins-ci.main:jenkins-core@(-∞, 2.442)

2.jenkins@(-∞, 2.442)

3.jenkins lts@(-∞, 2.426.3)

排查方式：

1.获取 org.jenkins-ci.main:jenkins-core 版本，判断其版本 < 2.442

2.获取 jenkins 版本，判断其版本 < 2.442

3.获取 jenkins lts 版本，判断其版本 < 2.426.3

修复方案：

1.将 org.jenkins-ci.main:jenkins-core 升级至 2.442 及以上版本

2.禁用Jenkins CLI：设置 Java 系统属性 hudson.cli.CLICommand.allowAtSyntax 为 true

3.将 jenkins 升级至 2.442 及以上版本

4.将组件 jenkins lts 升级至 2.426.3 及以上版本

参考链接：

1.https://www.oscs1024.com/hd/MPS-nw0b-89j6https://www.oscs1024.com/hd/MPS-nw0b-89j6

2.https://www.jenkins.io/security/advisory/2024-01-24/https://www.jenkins.io/security/advisory/2024-01-24/

3.https://github.com/jenkinsci/jenkins/commit/de450967f38398169650b55c002f1229a3fcdb1bhttps://github.com/jenkinsci/jenkins/commit/de450967f38398169650b55c002f1229a3fcdb1b

4.https://github.com/jenkinsci/jenkins/commit/554f03782057c499c49bbb06575f0d28b5200edbhttps://github.com/jenkinsci/jenkins/commit/554f03782057c499c49bbb06575f0d28b5200edb

修复步骤

1、检查当前Jenkins版本

可直接登录Jenkins页面查看，2.319.1版本，不属于上述漏洞的安全版本，需要升级

2、升级Jenkins

因为我这边是k8s中部署的jenkins，所有这边只需修改一下deployment的image版本，其他的不变。

......
    spec:
      containers:
      - image: jenkins/jenkins:2.442
        imagePullPolicy: IfNotPresent
......

修改之后pod正常启动，我们访问页面查看新版本

2.224就属于安全版本了。

到这里升级只进行到了一小半，哪些插件不升级是没法正常发版的，尤其是关键的pipeline相关的的重要插件。但是这个也相对好解决，在插件管理处页面点击跟新就行了，如果下载失败可以试试更换下载源，我这边提供一个清华源：https://mirrors.tuna.tsinghua.edu.cn/jenkins/updates/update-center.json

到这正常来说就结束了，但我这边还是存在两个问题没解决。

（1）新版本的Jenkins是基于java17运行的，但是我们这边的项目都是基于java8开发的，这就导致项目没法编译通过。我这里的解决方案是在jenkins容器中部署一个java8的环境，在mvn clean之前先source 应用一下java8这个环境，再次mvn clean 就没问题了。

（2）我在老版本的Jenkins上添加了k8s 动态slave节点，更新之后slave的pod能启动但状态是离线的，通过日志排查出来还是java版本问题，我原来的slave节点的镜像里面启动的是java8，现在master是java17，两个版本不一致导致的换一个java17的Jenkins-jnlp镜像就可以了