Jenkins远程代码执行漏洞

最新推荐文章于 2024-09-25 16:36:01 发布
最新推荐文章于 2024-09-25 16:36:01 发布
阅读量1.5k 收藏 2
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_36197704/article/details/108451379
版权

1.资产查找

Fofa：title=”jenkins”

2.漏洞描述：

       Jenkins是一个开源软件项目，是基于Java开发的一种持续集成工具，用于监控持续重复的工作，旨在提供一个开放易用的软件平台。Jenkins存在远程代码执行漏洞，漏洞成因是Jenkins平台提供了一个界面给使用者检查自己的Pipeline脚本，使用GroovyClassLoader.parseClass()来检查Pipeline脚本语法的正确性，攻击者构造特定的代码造成远程代码执行，攻击者通过该漏洞可获取服务器完全控制权限。

3.漏洞复现

（1）访问xx.xx.xx.150/script，进入脚本控制台界面；

（2）远程执行代码：println "whoami".execute().text

 

Jenkins远程命令执行漏洞
m0_48520508的博客
12-23 524
0x00简介 Jenkins自动化部署可以解决集成、测试、部署等重复性的工作，工具集成的效率明显高于人工操作；并且持续集成可以更早的获取代码变更的信息，从而更早的进入测试阶段，更早的发现问题，这样解决问题的成本就会显著下降：持续集成缩短了从开发、集成、测试、部署各个环节的时间，从而也就缩短了中间出现的等待时间；持续集成也意味着开发、集成、测试、部署得以持续。 0x01漏洞概述 Jenkins使用Stapler框架开发，其允许用户通过URL PATH来调用一次public方法。由于这个过程没有做限制，攻击者
【漏洞复现】Jenkins远程命令执行漏洞（CVE-2018-1000861）
weixin_43486390的博客
12-21 2757
0x01 漏洞介绍 Jenkins使用Stapler框架开发，其允许用户通过URL PATH来调用一次public方法。由于这个过程没有做限制，攻击者可以构造一些特殊的PATH来执行一些敏感的Java方法。 通过这个漏洞，我们可以找到很多可供利用的利用链。其中最严重的就是绕过Groovy沙盒导致未授权用户可执行任意命令：Jenkins在沙盒中执行Groovy前会先检查脚本是否有错误，检查操作是没有沙盒的，攻击者可以通过Meta-Programming的方式，在检查这个步骤时执行任意命令。 0x02 影响版本
Jenkins远程命令执行漏洞 CVE-2018-1000861 漏洞复现
ADummy的博客
03-04 623
Jenkins远程命令执行漏洞（CVE-2018-1000861） by ADummy 0x00利用路线 ​ 直接url执行 0x01漏洞介绍 ​ Jenkins使用Stapler框架开发，其允许用户通过URL PATH来调用一次public方法。由于这个过程没有做限制，攻击者可以构造一些特殊的PATH来执行一些敏感的Java方法。 通过这个漏洞，我们可以找到很多可供利用的利用链。其中最严重的就是绕过Groovy沙盒导致未授权用户可执行任意命令：Jenkins在沙盒中执行Groovy前会先检查脚本是
Jenkins 文件读取漏洞（CVE-2024-43044）修复
最新发布
modaner的博客
09-25 525
Jenkins 受影响版本中，攻击者在获取agent权限后，可利用agent功能与Jenkins交互，从而读取 Jenkins 控制器文件系统上的任意文件，并结合其他功能等可能导致任意代码执行，属于高危漏洞。漏洞描述：Jenkins是基于Java开发的一种持续集成工具，Jenkins Agent是Jenkins自动化架构中的组件，Jenkins 可以通过部署在服务器等上的agent执行构建和部署任务。6、访问浏览器，可以看到正常访问，系统版本已经升级成功了。3、升级前进行系统备份，创建快照等操作。
[漏洞复现] jenkins 远程代码执行 （CVE-2019-100300）
qq_45751902的博客
11-24 2376
拥有Overall/Read 权限的用户可以绕过沙盒保护，在jenkins可以执行任意代码。此漏洞需要一个账号密码和一个存在的job。Jenkins的pipeline主要是通过一个配置文件或者job里面的pipeline脚本配置来设定每个job的步骤. pipeline定义了几乎所有要用到的流程, 比如执行shell, 存档, 生成测试报告, 发布报告等。
jenkins2.289.1版本远程命令执行漏洞
山兔的博客
11-13 3011
在网络安全行业中，有一种方法可以识别、定义和编目公开披露的漏洞。这种类型的标识称为CVE，代表常见漏洞和披露。分析后，为每个漏洞分配一个严重等级，称为 CVSS 分数，范围从 0 到 10，其中 0 表示信息，10 表示严重。这些分数取决于几个因素，其中一些是 CIA 的危害级别（机密性、完整性、可用性）、攻击复杂程度、攻击面的大小等。在计算机安全中，任意代码执行 （ACE） 是攻击者在目标计算机或目标进程中执行任意命令或代码的能力。[…]旨在利用此类漏洞的程序称为任意代码执行漏洞。
Jenkins-CI 远程代码执行漏洞（CVE-2017-1000353）
m0_65354386的博客
07-05 804
Jenkins 可以自动执行代码构建、编译、打包以及单元测试、集成测试等，确保代码质量，还拥有丰富的插件库，能够集成各种工具和服务，且支持自动化部署应用到测试或生产环境。Jenkins 提供详细的构建日志和报告，通过自动化构建和测试，能够为开发团队提供了高效的持续集成和持续部署解决方案，同时促进敏捷开发和 DevOps 实践的落地。将刚才生成的字节码文件发送给目标：python exploit.py http://your-ip:8080 jenkins_poc.ser。查看靶场端口：docker ps。
【漏洞复现】Jenkins-CI远程代码执行漏洞(CVE-2017-1000353）
weixin_43486390的博客
12-18 973
0x01 漏洞描述 Jenkins存在未经身份验证的远程代码执行漏洞，经过序列化的Java SignedObject对象传输到基于远程处理的Jenkins CLI，在使用新的对象ObjectInputStream对其进行反序列化操作即可绕过现有的基于黑名单的保护机制。远程攻击者可利用漏洞在受影响的应用程序的上下文中执行任意代码，或造成程序拒绝服务。 0x02 影响范围 所有Jenkins主版本均受到影响(包括<=2.56版本) 所有Jenkins LTS 均受到影响( 包括<=2.46.1
Jenkins功能未授权访问导致的远程命令执行漏洞
limb0的博客
11-21 3324
Jenkins功能未授权访问导致的远程命令执行漏洞 一、漏洞介绍 Jenkins管理登陆之后，后台”系统管理”功能，有个”脚本命令行的”功能，它的作用是执行用于管理或故障探测或诊断的任意脚本命令，利用该功能，可以执行系统命令，该功能实际上Jenkins正常的功能，由于很多管理账号使用了弱口令，或者管理后台存在未授权访问，导致该功能会对Jenkins系统服务器产生比较严重的影响和危害。 二、漏洞危害...
Jenkins远程命令执行漏洞（CVE-2018-1000861）
m0_68045701的博客
07-09 779
Jenkins 2.153和更早版本，LTS 2.138.3和更早版本使用的Stapler Web框架中的stapler/core/src/main/java/org/kohsuke/stapler/MetaClass.java中存在一个代码执行漏洞，攻击者可以使用该方法调用某些方法通过访问并非旨在通过这种方式调用的特制URL来访问Java对象。
漏洞复现----6、Jenkins远程命令执行漏洞（CVE-2018-1000861）
七天
11-25 4534
文章目录一、Jenkins简介二、CVE-2018-1000861简介三、漏洞复现 一、Jenkins简介 Jenkins是一个独立的开源自动化服务器，由JAVA开发。 可用于自动化各种任务，如构建，测试和部署软件；也可以根据设定持续定期编译，运行相应代码；运行UT或集成测试；将运行结果发送至邮件，或展示成报告等。 Jenkins可以通过本机系统包Docker安装，也可以通过安装Java Runtime Environment的任何机器独立运行。 在很多中大型金融企业中普遍使用Jenkins来作为项目发
Jenkins升级-- 无条件远程代码执行高危漏洞
skypig555的专栏
03-14 835
起因 早上收到阿里云的安全中心的电话，说检测到我们部分服务器使用了Jenkins，存在严重的安全漏洞。希望我们购买他们的安全防火墙，或者自己升级Jenkins。购买当然是不可能的拉。马上开始Jenkins升级。 硬货 停止之前的老版本 既然有漏洞，就先把老的版本服务停了。 安装新版本 这边我用的是docker-compose进行安装。docker和docker-compose的安装，自行百度。 v...
Jenkins未授权访问漏洞&命令执行
qq_45434762的博客
03-28 9656
Jenkins未授权访问漏洞环境准备下载安装包，版本1.620.1.1.norachwget http://archives.jenkins-ci.org/redhat/jenkins-1...
Jenkins-CI 远程代码执行漏洞复现（CVE-2017-1000353）
m0_63082628的博客
07-05 1498
​ Jenkins-CI 远程代码执行漏洞复现
Jenkins 远程代码执行漏洞（CVE-2017-1000353） 复现
YouthBelief的博客
11-25 5177
所有文章，仅供安全研究与学习之用，后果自负! Jenkins 远程代码执行漏洞（CVE-2017-1000353）Jenkins 远程代码执行漏洞（CVE-2017-1000353）0x01 漏洞描述0x02 影响范围0x03 漏洞复现0x04 漏洞修复 Jenkins 远程代码执行漏洞（CVE-2017-1000353） 0x01 漏洞描述 Jenkins 可以通过其网页界面轻松设置和配置,其中包括即时错误检查和内置帮助。 插件 通过更新中心中的 1000 多个插件,Jenkins 集成了持续集成和持续交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值