在本文中，我们将探讨 Jenkins 的两个远程命令执行（RCE）漏洞：CVE-2017-1000353 和 CVE-2018-1000861。这两个漏洞都可能导致攻击者在受影响的 Jenkins 实例上执行任意命令。我们将首先简要介绍这些漏洞，然后详细说明如何利用这些漏洞进行攻击。最后，我们将提供一些建议，以帮助您预防和应对这些漏洞。
漏洞简介
- CVE-2017-1000353：这是一个存在于 Jenkins 的 Groovy 脚本注入漏洞。攻击者可以通过构建特定的请求来注入恶意 Groovy 脚本，从而在 Jenkins 服务器上执行任意命令。
- CVE-2018-1000861：这是一个与 Jenkins Pipeline 相关的远程代码执行漏洞。攻击者可以利用该漏洞通过修改 Jenkinsfile 来注入恶意代码，从而在 Jenkins 服务器上执行任意命令。
漏洞复现 - CVE-2017-1000353：攻击者首先需要找到一个允许 Groovy 脚本执行的 Jenkins 插件，例如“Pipeline: Multibranch with defaults”。然后，攻击者可以构建一个包含恶意 Groovy 脚本的请求，并将其发送到 Jenkins 服务器的相应端点。一旦请求被接受，恶意脚本将被执行，从而允许攻击者在 Jenkins 服务器上执行任意命令。
- CVE-2018-1000861：攻击者首先需要访问包含可编辑 Jenkinsfile 的项目。然后，他们可以修改 Jenkinsfile 中的代码以注入恶意代码。一旦恶意代码被保存并重新加载，它将在 Jenkins 服务器上执行任意命令。
防范措施
为了预防和应对这些漏洞，我们建议采取以下措施： - 更新 Jenkins 和相关插件：保持 Jenkins 和所有相关插件的最新版本是非常重要的。新版本通常会修复已知的安全漏洞，包括 RCE 漏洞。
- 最小权限原则：确保 Jenkins 用户和相关插件具有执行任务所需的最小权限。避免授予不必要的权限，以降低潜在的安全风险。
- 输入验证和过滤：对所有用户输入进行验证和过滤，以防止恶意代码注入攻击。限制可接受的输入格式，并对所有不符合预期的输入进行清理或拒绝。
- 使用安全配置管理工具：使用安全配置管理工具来监控和审计 Jenkins 的配置。这有助于及时发现潜在的安全问题并进行修复。
- 定期审计和监控：定期对 Jenkins 进行审计和监控，以确保没有可疑活动或异常行为发生。及时发现并应对任何可疑活动或威胁。
- 及时获取安全公告和修补程序：密切关注 Jenkins 和相关插件的官方发布渠道，以便及时获取安全公告和修补程序。确保您及时应用了所有重要的修补程序和更新。
通过遵循这些防范措施，您可以大大降低因 Jenkins RCE 漏洞（CVE-2017-1000353 和 CVE-2018-1000861）而受到攻击的风险。请务必采取必要的措施来保护您的 Jenkins 环境免受潜在的安全威胁。