CVE-2024-23897

Jenkins 2.441及更早版本、LTS 2.426.2及更早版本未禁用其CLI命令解析器的一个功能，该功能允许将参数中'@'字符后跟文件路径的内容替换为文件内容，从而允许未认证的攻击者读取Jenkins控制器文件系统上的任意文件。

利用方法

按照以下步骤执行漏洞利用：

1. 为脚本授予执行权限：

   root@kitploit:~

   chmod +x run_exploit.sh
   

2. 运行脚本：

   root@kitploit:~

   ./run_exploit.sh
   

其他参考资料

要了解有关CVE-2024-23897及其缓解措施的最新信息，请查阅以下资源：

1. Feedly上的CVE-2024-23897订阅：

   • Feedly上的CVE-2024-23897订阅

2. SecurityOnline文章：

   • CVE-2024-23897 - Jenkins安全漏洞（可能RCE）

3. 教育性缓解视频：

   • 观看缓解视频