jenkinsci-cert/security-3314-3315Обходной путь для отключения CLI для устранения SECURITY-3314/CVE-2024-23897 и SECURITY-3315/CVE-2024-23898
= Смягчение уязвимостей SECURITY-3314/SECURITY-3315
Данный репозиторий содержит инструкции по смягчению последствий эксплуатации уязвимостей SECURITY-3314 и SECURITY-3315 на затронутых экземплярах.
== Обзор
Необходимо отключить доступ к CLI. Необходимо выполнить оба следующих шага:
== Инструкции
=== Отключение CLI endpoint
Если Jenkins запущен, выполните предоставленный скрипт disable-cli.groovy в https://www.jenkins.io/doc/book/managing/script-console/[Script Console].
Это удалит HTTP endpoint CLI до перезапуска Jenkins.
Создайте https://www.jenkins.io/doc/book/managing/groovy-hook-scripts/[Groovy Hook Script] после инициализации, содержащий содержимое disable-cli.groovy, чтобы скрипт выполнялся при каждом (пере)запуске Jenkins.
==== Подтверждение
Чтобы убедиться, что скрипт сработал, перейдите в Manage Jenkins » Jenkins CLI.
Если смягчение не применено, отображается общая документация CLI, включая обзор доступных команд CLI. Если смягчение применено, отображается ошибка HTTP 404 Not Found.
=== Отключение SSH-порта
https://plugins.jenkins.io/sshd/[SSH Server Plugin] предоставляет доступ к Jenkins CLI через SSH. Это плагин, функциональность которого ранее входила в ядро Jenkins, поэтому он может быть установлен, даже если вы никогда явно его не устанавливали.
Перейдите в Manage Jenkins » Security и убедитесь, что параметр SSHD Port в разделе SSH Server установлен в Disable.
ПРИМЕЧАНИЕ: Это рекомендуется сделать, даже если вы решите отключить или удалить плагин, так как функциональность управления плагинами может переустановить или повторно включить плагин для обеспечения удовлетворения зависимостей плагина.
В качестве альтернативы вы можете добавить следующий фрагмент в конец скрипта disable-cli.groovy:
// Disable CLI access over SSH Server Plugin
if (j.getPlugin('sshd')) {
hudson.ExtensionList.lookupSingleton(org.jenkinsci.main.modules.sshd.SSHD.class).setPort(-1)
}
==== Подтверждение
Явная настройка не требуется при использовании поддерживаемого параметра пользовательского интерфейса для отключения SSH-порта, но вы можете попытаться подключиться к ранее настроенному порту SSH CLI.
Ожидаемый результат — неудачное установление соединения.
Обратите внимание, что неаутентифицированное использование SSH CLI невозможно, поэтому не каждая ошибка является признаком его успешного отключения.
Вот примеры ожидаемого (безопасного) результата (при условии, что ранее был настроен порт 2222):
$ ssh -p 2222 jenkins.example.org
ssh: connect to host jenkins.example.org port 2222: Connection refused
$ ssh -p 2222 jenkins.example.org
kex_exchange_identification: read: Connection reset by peer
Connection reset by … port 2222