【漏洞公告】CVE-2017-2608:Jenkins远程代码执行漏洞
北京时间2月1日，Jenkins官方发布了新一轮的安全漏洞公告，该公告包括18个不同等级的安全漏洞，其中1个高危漏洞可以导致使用Jenkins用户遭受远程代码执行攻击，存在严重的安全分风险，目前官方已经发布最新版本。
漏洞编号：
CVE-2017-2608
漏洞名称：
Jenkins远程代码执行漏洞
官方评级：
高危
漏洞描述：
此漏洞存在于 XStream API，（例如XStream/ createitem URL，或config.xml远程API），攻击者可以通过该漏洞成功发起远程代码执行攻击，严重情况下可以获取服务器权限。
漏洞影响范围：
- 所有已发布的Jenkins版本，包括 2.43
- 所有已发布的Jenkins LTS版本，包括2.32.1
漏洞修复建议(或缓解措施)：
- 配置安全组策略控制Jenkins访问范围，建议仅内网或本地管理员可访问，禁止对互联网发布；
- 升级Jenkins到最新版本 ：Jenkins主版本用户升级到最新2.44版，Jenkins LTS 版本用户升级到最新2.32.2版 。
情报来源：
- https://wiki.jenkins-ci.org/display/SECURITY/Jenkins+Security+Advisory+2017-02-01
版权声明：本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
面对Jenkins的这个高危漏洞，确保您的系统安全是至关重要的。根据您提供的情况，这里有一些建议，结合阿里云的产品和服务来帮助您更好地应对和修复此漏洞：
-
升级Jenkins: 首先，按照官方建议升级Jenkins到安全版本。对于主版本用户，升级到2.44版；LTS版本用户则升级到2.32.2版。在阿里云ECS（Elastic Compute Service）上部署Jenkins的用户，可以通过创建快照备份当前环境后，直接在实例上进行版本升级操作。
-
配置安全组策略: 利用阿里云ECS的安全组功能，您可以设置网络访问控制规则，限制对Jenkins服务的访问仅限于内网IP或者特定信任的外部IP地址。这有助于减少潜在的攻击面。登录阿里云控制台，导航至ECS实例详情页，点击“配置规则”来编辑安全组策略。
-
使用WAF（Web Application Firewall）: 如果您的Jenkins服务需要对外暴露，考虑部署阿里云WAF。WAF可以提供额外的一层保护，通过预定义的规则阻止远程代码执行等攻击尝试。配置WAF时，启用相关防护规则，并密切关注WAF日志，以便及时发现并响应异常访问行为。
-
云安全中心监控: 启用阿里云的云安全中心服务，它能提供安全态势感知、漏洞管理、基线检查等功能。针对已知的CVE-2017-2608漏洞，云安全中心会自动检测并提醒您存在风险的资产，指导您进行修复。
-
定期审计与合规检查: 使用阿里云的云安全中心或CodePipeline等CI/CD工具集成安全扫描，确保代码库和构建流程中不引入新的安全漏洞。定期进行安全审计和合规性检查，以维持系统的持续安全。
请记得，安全是一个持续的过程，除了即时响应已知漏洞外，建立一套完善的安全管理体系同样重要。希望这些建议能帮助您有效应对此次Jenkins安全漏洞。
