首页 > 数码 > 关键词 > Jenkins最新资讯 > 正文

Jenkins服务器允许匿名用户成为管理员

2018-12-17 17:04 · 稿源:手机中国

  今年夏天发现并修补了两个漏洞,将Jenkins服务器暴露在大规模开发之下。Jenkins的服务器数以千计,甚至更多,容易受到数据盗窃、接管和攻击。这是因为黑客可以利用两个漏洞获得管理权限,或者使用这些服务器上的无效凭据登录。

  这两个漏洞都是CyberArk的安全研究人员发现的,并私下向詹金斯团队报告,并在今年夏天得到了修复。尽管这两个问题都有补丁,但Jenkins仍然有数千台服务器可以在线使用。Jenkins是一个用Java构建的用于集成的web应用程序,它允许开发团队基于测试结果在代码库上运行自动化测试和命令,甚至可以自动化将新代码部署到服务器的过程。

  Jenkins是许多公司IT基础架构中的一个流行组件,这些服务器在自由职业者和企业中都很受欢迎。

  两个非常危险的缺陷

  今年夏天,CyberArk的研究人员发现了一个漏洞,该漏洞允许攻击者提供格式不正确的登录凭证,从而导致Jenkins服务器崩溃的配置文件。从Jenkins主目录到另一个位置的xml文件。如果攻击者可以导致Jenkins服务器崩溃并重新启动,或者如果它等待服务器自己重新启动,那么Jenkins服务器将启动一个不具有安全性的默认配置文件。

  在这种弱化的设置中,任何人都可以在Jenkins服务器上注册并获得管理员访问权限。有了管理员角色,攻击者就可以访问公司的私有源代码,甚至可以修改代码,以便在公司的应用程序中植入。这个单独的问题本身可能相当糟糕,但CyberArk的研究人员还发现了Jenkins的第二个bug。

  他们说,第二个bug允许攻击者,在服务器内存中,创建短暂的用户记录,允许攻击者在短时间内,使用假用户名和凭据进行身份验证。这两个漏洞都得到了修复,第一个是在7月,第二个是在8月,但是正如我们在过去几年习惯了覆盖安全缺陷一样,并不是所有的服务器所有者,都用心安装这些安全更新。

  成千上万的服务器暴露在黑客面前

  斯托尔告诉我们:“除了大约7.8万个安装数字,还有一些安装在封闭网络内,无法在线访问(因此在Shodan无法看到),因此,大约7.8万个安装数字只是一个更大数字的一部分。”“同样,任何有网络接入的人都能成功实施这次攻击。”

  我们用相同的Shodan引擎对10个Jenkins服务器版本的搜索查询进行了微调,这些版本都很容易受到上述漏洞的攻击。短短几分钟之内,就发现了2000多台易受攻击的Jenkins服务器,但我们相信,可以访问internet的易受攻击服务器总数甚至可能超过10000台。

  今年早些时候,一个网络犯罪组织滥用了大量的旧漏洞来接管Jenkins的实例,并在他们的要求下利用它们来挖掘加密货币,在短短几个月的时间里(当时)赚了令人震惊的340万美元。很少有比这漏洞,可以被大量利用而造成更大的损害。Jenkins的服务器所有者被建议尽快修复,避免黑客在他们的服务器上自由漫游。

  • 相关推荐
  • 大家在看
  • 最强蜗牛服务器无响应详细解决办法 三种办法解决服务器无响应

    最强蜗牛经常的会碰到服务器无响应的情况,那么遇到这样的情况怎么办呢?下面就来为大家分享一下最强蜗牛服务器无响应详细解决办法。

  • 鲲鹏服务器与华为FusionServer Pro入围中国移动2020年PC服务器集采

    近日,中国移动 2020 年PC服务器集采项目中标候选人公示,鲲鹏服务器与华为x86 服务器全面入围。本次招标总规模 138272 台,华为中标 41312 台,中标份额近30%。基于鲲鹏处理器的服务器中标达 19563 台,其中中移系统集成(H3C) 13475 台,华为TaiShan服务器 6088 台,在鲲鹏所参与的标段中占比超过67%。本次鲲鹏服务器全面覆盖计算型、均衡型和存储型等服务器类型,将广泛用于中国移动IT云及移动云的建设,为中国移动“5G+”计划

  • 周杰伦新单曲《Mojito》导致QQ音乐服务器崩溃

    DoNews 6月12日消息(记者 刘文轩)今天凌晨,周杰伦最新单曲《Mojito》在QQ音乐、酷狗音乐、酷我音乐上线。上线后不久,QQ音乐服务器似乎开始出现崩溃的情况,有用户在QQ音乐官方微博下留言反馈了这一情况。从用户发布的截图可以看出,用户在付费购买这张单曲的时候,会被提示“购买过程中由于网络异常导致失败,系统未扣费,请尝试重新购买”。这并不是周杰伦第一次把QQ音乐搞到崩溃,早在去年9月,周杰伦的单曲《说好不哭》上线

  • 2个月构建一个Go服务器,他通过众筹获得14万元

    Kaya.gs是使用Go语言构建的一个服务器,它的创始人Gabriel Benmergui仅用 2 个月的时间就完成该产品的构建及启动,并在随后几个月的时间内容通过众筹活动筹集了 2 万美元。然而,投入运行 1 年后,Kaya.gs就被迫关闭了。

  • 感天动地却终究没法感动你!买199台服务器也没能让一个土豪脱单

    从前有一个年轻的土豪,他喜欢看直播,看美女,大学没读完就在家天天刷DOUYIN,家里怕他出去调皮。。这一天,他突然觉得无聊了,觉得这样每天打赏下去,就算不会坐吃山空,也会要么被主播害死,要么被老爸打死。于是他想做点什么正经事情了。他想多认识年轻漂亮的女孩,他渴望交友,于是他想做个交友的APP。比如MOMO这样的。做个APP,需要办执照,注册公司,办ICP,等等。他找来了平时的酒肉朋友,朋友告他除了办这些证照外,还需?

  • 猿辅导招聘服务器端研发工程师(JAVA)诚邀技术大拿

    猿辅导是一家在线教育领域的互联网公司,众所周知互联网公司最重要的岗位非程序员莫属,猿辅导也不例外,近日猿辅导招聘服务器端研发工程师(JAVA)正如火如荼的进行着。猿辅导可以为工程师们提供舒适的工作环境以便大家可以大显身手。猿辅导望京办公楼猿辅导的这份工作主要内容是负责猿辅导主app相关产品服务器端的开发,而且作为一名有经验的研发工程师,你还需要指导新人进行开发。猿辅导的办公环境对于这个岗位,猿辅导有相应?

  • 华为发布新一代智能服务器,携手英特尔加速智能计算前行

    今天,华为在深圳发布了新一代FusionServer Pro V6 智能服务器,首款推出FusionServer Pro 2488H V6 四路机架服务器。相比上一代FusionServer Pro V5 搭配的第二代英特尔?至强?可扩展处理器,新一代FusionServer Pro V6 搭配了第三代英特尔?至强?可扩展处理器,并支持最新英特尔?傲腾?持久内存。 自 2019 年华为将FusionServer服务器全面升级为FusionServer Pro智能服务器以来,该产品线已连续推出两代新品,华为一直紧跟英特尔技

  • 制造商消息人士:云服务器需求未来一年半依旧强劲

    6月3日消息,据国外媒体报道,智能手机等诸多产品及服务的出货量和市场需求都受到了影响,但笔记本电脑、处理器、在线教育、云计算等产品和服务的需求,却有一定程度的提升。外媒最新的报道显示,云服务器也是需求有增长的一个领域,需求依旧强劲,未来一段时间的出货量也将高速增长。外媒是援引服务器制造领域消息人士透露的消息,报道云服务器需求强劲、出货辆将高速增长的。这一服务器制造领域的消息人士表示,云服

  • 浪潮发布了两款M6系列四路服务器,支持最新的第三代Intel Xeon可扩展处理器

    [TechWeb]全球领先的IT基础架构提供商浪潮(Inspur)发布了两款M6系列四路服务器,支持最新的第三代Intel Xeon可扩展处理器,其中包括针对云方案进行了优化的2U四路服务器NF8260M6和四路4U四路服务器NF8480M6。传统企业客户的关键任务应用场景的服务器。第三代Intel Xeon可扩展处理器支持四路和八路服务器,单个CPU最多可支持28个内核。主流CPU首次支持Bfloat16数字格式,以增强AI深度学习性能和计算速度。同时,在云计算,内存数

  • IDC:全球通用服务器厂商一季度收入为168.4亿美元

    日前,IDC发布了《 2020 年第 1 季度全球x86 服务器市场追踪报告》。报告显示,一季度,全球通用服务器厂商收入为168. 4 亿美元,同比下降9.1%,出货量为 250 万台,同比下降0.2%。戴尔、HPE和浪潮仍占据市场前三把交椅。

  • 助力中小型企业 联想企业科技集团推出ThinkServer TS80X服务器

    6 月 10 日,联想企业科技集团宣布推出新款塔式服务器Lenovo ThinkServer TS80X,持续以客户为中心赋能中小企业数字化转型。作为联想ThinkServer家族的最新成员,TS80X将完整强悍的服务能力精炼至18.5L的小巧身材中,旨在以最高性价比成为中小企业客户入门级服务器的不二之选。联想ThinkServer TS80X塔式服务器中小企业成中国经济脊梁 数字化转型助力度过难关在中国,中小企业的地位正变得越来越重要,数据显示,目前我国的中小企?

  • 滴滴云AI大师码:4321,购买滴滴云GPU云服务器享9折优惠

    滴滴云GPU云服务器提供了P4、P40、P100 和T4 四种机型,适用于深度学习推理/预测、深度学习训练、图像处理、浮点高性能计算、视频编解码等应用场景;滴滴云GPU云服务器具有超高性价比,价格优势明显。购买滴滴云GPU云服务器之前,可以输入AI大师码,有 9 折优惠。下面我就分享一下滴滴云AI大师码。滴滴云AI大师推荐码,购买滴滴云GPU云服务器享 9 折优惠。用户购买滴滴云GPU云服务器的时候,输入AI大师码:4321,即可享受 9 折优惠

  • 亿速云618大促送100元无门槛红包 云服务器最低2折

    疫情后首个618购物节即将来临,亿速云今年的618年中大促可谓火力全开,连云服务器2折这样的超值活动都出现了!正所谓早买晚买都是买,趁着活动入手高配置的云服务器,这个才是属于618的快乐啊!还有一天6场夺红包活动,100元无门槛红包免费送哦!除了云服务器外,亿速云一系列的热门云产品也有限量特惠,如海外云、云数据库、CDN、裸金属服务器、短信产品等。 话不多说,直接上优惠! 爆款一型华北云服务器: 2核CPU,内存2G,5M ?

  • 西部数码年中钜惠:云服务器1.6折起,域名5元起,SSL证书5折购

    它来了它来了!西部数码的618年中大促带着满满的诚意和优惠终于来啦!不必等到6月18日,也不必计算复杂的满减折上折,活动规则简单明了,产品优惠实实在在。今天起,即可参与西部数码618云钜惠——超多爆款限量抢,2核2G云服务器3年仅需999元!买代金券获赠20%京东购物卡!活动时间:2020年6月5日—6月19日活动入口:https://www.west.cn/active/20618/爆款产品限时抢购区活动期间,新用户(从未购买过西部数码主机产品且完成实名?

  • 阿里云618年中大促活动,阿里云服务器低至91元一年

    从2009年双十一网络促销活动开始,阿里系便在“数字节日”的营销道路上愈走愈远。行至今时今日,不仅天猫商城紧锣密鼓地开展一系列营销活动,作为阿里系重要成员之一的阿里云,更是将这种营销举措演绎的入木三分。譬如,当下阿里云618年中大促活动,便是官方推出的一项营销重头戏!值2020年阿里云线上峰会圆满召开之际,本次阿里云618年中大促活动索性将诸多首发新品隆重上架,以一种极具战略性的发布姿态,诠释着云领域中的王者之

  • 新天域互联Q3钜惠 香港服务器E3/E5首三月半价

    即将到来的“6.18”购物节,对于想部署香港服务器的企业而言不失为好时机,香港IDC新天域互联现推出Q3 季度优惠,针对市场对E3 及E5 机型的需求给予首三个月半价,而且对SSD或RAM进行免费升级(二选一)。另外,还有I机、MacOS服务器等其他活动选项。疫情期间,服务器承担企业绝大部分的业务负荷,其自身性能以及相关配置将直接影响终端用户的使用体验,并且对业务数据化的效率产生主要作用。然而服务器并非一次性的消费型资产,企

  • 腾讯云618云聚惠活动:腾讯云服务器1核2G首年95元

    现代科技的迭变更新,总是伴随着不同产业之间的密切合作,于不同领域的思维碰撞中,创新的蓝海就此徐徐展开,腾讯云便是如此。“根据官方消息,腾讯云将在未来五年的时间内,投资五千亿巨资用于基建项目布局,正是基于这种多产业合作的理念!”腾讯云优惠网负责人强调道。据悉,在五千亿的庞大基建布局背后,是腾讯云打造产业区块链生态的业绩,是创建全国首个省级“丝路融合”互联网生态圈的荣耀,更是不遗余力支持中小微企业转型?

  • 2020年阿里云618年中大促优惠活动,云服务器低至0.9折

    六月流火,燃情夏季!值此年中节点之际,各大商家纷纷开启618年中大促活动的盛大序幕,作为国内知名云服务商之一,阿里云一马当先,从六月一号直至六月三十号,一场轰轰烈烈的阿里云618特惠活动,迅速燃遍全网,席卷全国!“此次活动由三部分所组成,分别是为你推荐-上云必备、上云必看-重磅发布以及口碑爆款,力度大,优惠多,不容易错过!”阿里云服务器教程网负责人表示。据了解,此次阿里云的618年中大促活动具有覆盖面广、活?

  • 百度:2030年服务器数量超500万台 达Top500超算总和7倍

    6月19日,百度宣布,未来十年将继续加大在人工智能、芯片、云计算、数据中心等新基建领域的投入。预计到2030年,百度智能云服务器台数超过500万台。500万台服务器是什么概念?接近2019年全球

  • 黑客泄露暗网托管服务商DH数据库 涉及七千多个帐户密码

    一名黑客日前在网上泄露了全球最大的免费暗网托管服务商Daniel's Hosting (DH)的数据库。当前泄露的数据是,今年 3 月 10 日黑客入侵DH获得的。当时,遭黑客攻击之后,近 7600 个暗网门户网站关闭,攻击者删除了托管门户网站的整个数据库。

  • 参与评论
文明上网理性发言,请遵守新闻评论服务协议