2018年7月25日，金山云安全应急响应中心监控到Jenkins 官方发布了安全资讯，对两个高危漏洞进行通告，分别是配置文件路径改动导致管理员权限开放漏洞（CVE-2018-1999001）以及任意文件读取漏洞（CVE-2018-1999002），其中CVE-2018-1999001可以修改配置文件路径并篡改权限，CVE-2018-1999002可以通过构造恶意请求以读取文件内容。

漏洞名称

CVE-2018-1999001：配置文件路径改动导致管理员权限开放漏洞

CVE-2018-1999002：任意文件读取漏洞

漏洞编号

CVE-2018-1999001

CVE-2018-1999002

漏洞危害等级

CVE-2018-1999001：高危

CVE-2018-1999002：高危

漏洞描述

l  CVE-2018-1999001：

n  攻击者可以在远程且未经授权的状态下通过构造恶意登录凭证，从 Jenkins 主目录下移除 config.xml 配置文件到其他目录，从而导致 Jenkins 服务下次重启时退回 legacy模式，对匿名用户也会开放管理员权限。

l  CVE-2018-1999002：

n  攻击者在远程且未经授权的情况下，可以通过构造恶意的 HTTP 请求发往 Jenkins Web 服务端，从请求响应中直接获取攻击者指定读取的文件内容。经安全研究人员测试发现，该漏洞的利用需要开启匿名用户访问权限。

影响版本

Jenkins weekly 2.132 以及更早的版本

Jenkins LTS 2.121.1 以及更早的版本

修复方案

1.     Jenkins weekly 升级到 2.133 版本

2.     Jenkins LTS 升级到 2.121.2 版本

北京金山云网络技术有限公司

2018/07/25