Jenkins · Jenkins Command Line Interface (CLI)
CVE-2024-23897
Jenkins Command Line Interface (CLI) Path Traversal Vulnerability
这是什么
Jenkins 2.441 and earlier, LTS 2.426.2 and earlier does not disable a feature of its CLI command parser that replaces an '@' character followed by a file path in an argument with the file's contents, allowing unauthenticated attackers to read arbitrary files on the Jenkins controller file system.
CISA: Jenkins Command Line Interface (CLI) contains a path traversal vulnerability that allows attackers limited read access to certain files, which can lead to code execution.
该怎么做
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
美国联邦机构的修复期限：2024年9月9日
- 加入 CISA 列表
- 2024年8月19日
- 发布日期
- 2024年1月24日
- 严重程度
- 严重 9.8 CVSS 3.1
- 未来 30 天遭受攻击的概率（EPSS）
- >99.9% 位列所有已知漏洞的前 0.1%
- 弱点类型
- CWE-27
- 更多详情
- NVD · CVE.org · CISA
全部参考链接（5）
- https://www.jenkins.io/security/advisory/2024-01-24/#SECURITY-3314
- https://www.sonarsource.com/blog/excessive-expansion-uncovering-critical-security-vulnerabilities-in-jenkins/
- http://www.openwall.com/lists/oss-security/2024/01/24/6
- http://packetstormsecurity.com/files/176839/Jenkins-2.441-LTS-2.426.3-CVE-2024-23897-Scanner.html
- http://packetstormsecurity.com/files/176840/Jenkins-2.441-LTS-2.426.3-Arbitrary-File-Read.html
Jenkins 的其他被利用漏洞
| 加入日期 | 漏洞 | 产品 | 严重程度 | 受攻击概率 |
|---|---|---|---|---|
| 2025年10月2日 | Remote Code Execution | Jenkins | 严重 9.8 | 99.7% |
| 2023年5月12日 | User Interface (UI) Information Disclosure | Jenkins User Interface (UI) | 高 7.5 | 23% |
| 2022年4月25日 | Sandbox Bypass | Script Security Plugin | 严重 9.9 | 74% |
| 2022年3月25日 | Remote Code Execution | Matrix Project Plugin | 严重 9.9 | 97% |
| 2022年2月10日 | Stapler Web Framework Deserialization of Untrusted Data | Jenkins Stapler Web Framework | 严重 9.8 | 98% |
来源：Known Exploited Vulnerabilities（CISA，公有领域）、CVE records（cve.org）和 EPSS（FIRST）。受攻击概率是 EPSS 对未来 30 天内有人尝试利用该漏洞的估计。