IT学习网 - 爱学习 - 最具影响力综合资讯网站 -- 中国IT界的领航者!
热门关键字:      88888  as  xxx
站外
广告
站外
广告

关于Jenkins CLI漏洞情况的通报

发布时间:2016-11-26 14:26文章来源:互联网文章作者: 互联网点击次数:
近日,国家信息安全漏洞库(CNNVD)收到关于Jenkins CLI存在远程代码执行漏洞(CNNVD-201611-384)的情况报送。该漏洞源于Jenkins CLI存在Java反序列化问题,从而导致远程攻击者可在Jenkins上执行任意代码,进一步控制服务器。 11月16日,Jenkins官方对上述漏
近日,国家信息安全漏洞库(CNNVD)收到关于Jenkins CLI存在远程代码执行漏洞(CNNVD-201611-384)的情况报送。该漏洞源于Jenkins CLI存在Java反序列化问题,从而导致远程攻击者可在Jenkins上执行任意代码,进一步控制服务器 11月16日,Jenkins官方对上述漏洞已发布升级公告。由于上述漏洞影响范围广,危害级别高,国家信息安全漏洞库(CNNVD)对此进行了跟踪分析,情况如下:

一、 漏洞简介

CloudBees Jenkins是美国CloudBees公司的一款基于 Java开发的开源的、可持续集成的自动化服务器,它主要用于监控持续的软件版本发布/测试项目和一些定时执行的任务。LTS(Long-Term Support)是CloudBees Jenkins的一个长期支持版本。 CloudBees Jenkins 2.31及之前的版本和Jenkins LTS 2.19.2及之前的版本中存在远程代码执行漏洞(漏洞编号:CNNVD-201611-384,CVE-2016-9299)。攻击者可通过传输恶意的序列化Java对象利用该漏洞执行任意代码,绕过保护机制。

二、漏洞危害

远程攻击者可通过构造恶意的Java序列化对象发送给Jenkins CLI,经其解析执行后,可使Jenkins连接到攻击者控制的LDAP服务器上,该LDAP服务器进一步发送恶意指令,可在Jenkins上执行任意代码,导致服务器被完全控制。 据统计,目前,全球现有一万余个网站使用了Jenkins,存在漏洞的网站数量为12579个,其中排在前五的国家分别为美国,中国,爱尔兰,德国以及荷兰。 图1.png 图1 Jenkins全球分布 图2.png 图2 漏洞影响全球分布情况 我国受影响网站约有1577个,主要位于浙江(61%) 、北京(19%)、上海(6%)等城市,以互联网企业、高校等行业网站为主。 图3.png 图3 Jenkins中国分布 图4.png 图4 漏洞影响我国分布情况

三、修复措施

目前,Jenkins官方已发布针对该漏洞的修复版本,并且,该漏洞细节及利用方式已在互联网上公布,请受影响的用户尽快升级至最新版本以消除漏洞影响。
1. Jenkins main line用户应升级至2.32版本 2. Jenkins LTS用户应升级至2.19.3版本
Jenkins公告链接:https://jenkins.io/blog/2016/11/16/security-updates-addressing-zero-day/ 本报告由CNNVD技术支持单位—北京长亭科技有限公司、北京白帽汇科技有限公司提供支持。 CNNVD将继续跟踪上述漏洞的相关情况,及时发布相关信息。如有需要,可与CNNVD联系。 联系方式: [email protected] *本文作者:CNNVD(机构账号),转载须注明来自FreeBuf.COM。

关于Jenkins CLI漏洞情况的通报
本文由 IT学习网 整理,转载请注明“转自IT学习网”,并附上链接。
原文链接:http://www.ourlove520.com/Article/diannao/wangluo/575256.html

标签分类:

上一篇:上一篇:报告显示DDoS攻击在一年内增加了71% 创下新纪录
下一篇: 下一篇:没有了
无觅关联推荐,快速提升流量