Jenkins 通过 CLI 读取任意文件（CVE-2024-23897）
💡
原文中文，约3100字，阅读约需8分钟。
📝
内容提要
Jenkins CLI 存在漏洞，攻击者可利用 args4j 的“@文件”功能读取任意文件。受影响版本为 Jenkins <= 2.441，建议升级至 Jenkins >= 2.442。可通过禁用 CLI 或限制访问来降低风险。
🎯
关键要点
- Jenkins CLI 存在漏洞，攻击者可利用 args4j 的 '@文件' 功能读取任意文件。
- 受影响版本为 Jenkins <= 2.441，建议升级至 Jenkins >= 2.442。
- CLI 命令是通过命令行界面输入的指令，用于与操作系统或程序交互。
- 漏洞利用步骤包括下载 vulhub，启动环境并使用 jenkins-cli.jar 读取敏感文件。
- 攻击者可以通过命令行读取 Jenkins 服务器上的敏感文件内容。
- 建议禁用 CLI 或限制访问权限以降低风险。
- 遵循最小权限原则，仔细配置 Jenkins 的安全设置，妥善管理密钥，定期审查日志。
➡️
