CVE-2024-23897

Jenkins 有一个内置的命令行界面（CLI），用于从脚本或 shell 环境访问 Jenkins。 Jenkins 使用 args4j 库来解析 Jenkins 控制器在处理 CLI 命令时的命令参数和选项。该命令解析器有一个功能，可以将参数中 @ 字符后跟文件路径的内容替换为该文件的内容（expandAtFiles）。此功能默认启用，而 Jenkins 2.441 及更早版本、LTS 2.426.2 及更早版本未禁用它。 这使得攻击者能够使用 Jenkins 控制器进程的默认字符编码读取 Jenkins 控制器文件系统上的任意文件。 拥有 Overall/Read...