九游老哥云
「误差通告」Jenkins插件多个误差
2020-05-08
误差概述
5月6日 ，Jenkins官方宣布清静通告修复插件中的9个误差 ，有5个插件受到影响。其中SCM Filter Jervis插件保存远程代码执行误差（CVE-2020-2189） ，官方定级为高危。由于SCM Filter Jervis插件默认不设置YAML剖析器 ，导致用户可以使用过滤器设置项目 ，也可以操作SCM已存储设置过的项目内容。Credentials Binding 插件保存两个凭证泄露误差（CVE-2020-2181、CVE-2020-2182） ，Copy Artifact 插件保存权限校验不当误差（CVE-2020-2183） ，CVS 插件的跨站请求伪造误差（CVE-2020-2184）及Amazon EC2 插件中的4 个误差（CVE-2020-2185、CVE-2020-2186、CVE-2020-2187、CVE-2020-2188）。
Jenkins是一款基于Java开发的开源项目 ，用于一连集成和一连交付的自动化中心件 ，是开发历程中常用的产品 ，来自九游老哥科技威胁情报的数据 ，有5万多Jenkins服务开放在公网。为包管Jenkins服务器的清静 ，建议相关用户将受影响的Jenkins插件升级至清静版本。
参考链接：
https://www.jenkins.io/security/advisory/2020-05-06/
影响规模
受影响插件版本
- Amazon EC2 Plugin <= 1.50.1
- Copy Artifact Plugin <= 1.43.1
- Credentials Binding Plugin <= 1.22
- CVS Plugin <= 2.15
- SCM Filter Jervis Plugin <= 0.2.1
不受影响插件版本
- Amazon EC2 Plugin = 1.50.2
- Copy Artifact Plugin = 1.44
- Credentials Binding Plugin = 1.23
- CVS Plugin = 2.16
- SCM Filter Jervis Plugin = 0.3
误差检测
版本检测
用户可通过审查目今使用的插件版本 ，对服务是否受此次误差影响举行排查。
点击“Manage Jenkins”进入治理�？� ，选择“Manage Plugins”治理插件。
点击“installed”即可对目今已装置的插件版本举行审查。
若是目今的插件版本在受影响规模内 ，则可能保存清静危害 ，请尽快接纳防护步伐。
误差防护
现在Jenkins官方已经针对此次的误差宣布了新的插件版本 ，请相关用户尽快升级受影响的插件至清静版本举行防护 ，操作办法如下：
点击“Manage Jenkins”->“Manage Plugins” ，进入插件治理界面。
选择需要升级的插件 ，点击“Download now and install after restart”举行更新操作。
