Jenkins 安全公告报告：

此公告宣布在 Jenkins 核心中发现的一个安全漏洞。

攻击者然后可使用此主加密密钥对 Jenkins 主控端发起远程代码执行攻击，或者冒充任意用户进行 REST API 调用。

有多个因素可缓解其中部分应用于特定安装的问题。

- 特定攻击载体仅适用于连接了从服务器的 Jenkins 实例，并且允许匿名读取访问。

- Jenkins 允许用户重新生成 API 标记。攻击者无法冒充这些重新生成的 API 标记。

检测

FreeBSD：jenkins -- 对服务器进行 HTTP 访问以检索主加密密钥 (3a65d33b-5950-11e2-b66b-00e0814cab4e)

high Nessus 插件 ID 63401

未找到变更日志