The JetBrains Blog
·
CI/CD插件架构的安全风险有哪些？
💡
原文英文，约1800词，阅读约需7分钟。
📝
内容提要
CI/CD插件架构存在安全风险，如去中心化开发、插件弃用和过度权限等。Jenkins插件漏洞频发，可能引发安全事件。集成平台通过减少外部依赖和提供统一安全管理来降低风险，团队的安全流程和纪律至关重要。
🎯
关键要点
- CI/CD插件架构存在安全风险，包括去中心化开发、插件弃用和过度权限等。
- Jenkins插件漏洞频发，2025年发现超过70个安全漏洞，许多漏洞在实际环境中未及时修复。
- CI/CD供应链风险指构建和交付管道中的组件被破坏，影响交付给客户的软件。
- 合规性问题：CI/CD管道处理个人可识别信息时，插件安全具有监管影响。
- 集成CI/CD平台通过内置核心功能而非依赖外部插件来处理插件安全，提供更好的安全模型。
- TeamCity也曾出现安全漏洞，包括2023年和2024年的严重身份验证绕过问题。
- 评估当前CI/CD平台的安全风险时，应定期检查插件的活跃状态、更新情况和权限设置。
- Jenkins本身并不不安全，但插件模型和规模带来了统计上的漏洞风险。
- 考虑更换CI/CD平台时，应关注插件管理、合规要求和操作效率等因素。
- 插件中心的CI/CD架构引入了结构性安全风险，团队的流程和纪律是最重要的安全变量。
➡️
