Jenkins 团队的 Kohsuke Kawaguchi 报告：

历史上，Jenkins 主服务器和从服务器的行为方式好像它们共同形成了单个分发的进程。这意味着从服务器可以要求主服务器在操作系统的限制内执行几乎任何操作，包括访问主服务器上的文件或触发 Jenkins 上的其他作业。

这变得越来越成问题，因为更大的企业部署已开发出更复杂的信任分离模型，主服务器的管理员可能会使用其他团队拥有的从服务器。在这样的环境中，从服务器的可信度比主服务器低。但是，用户未被良好地传达“单个分发的进程”假设，从而造成某些部署中的漏洞。

SECURITY-144 (CVE-2014-3665) 引入新的子系统以解决此问题。出于兼容性原因，此功能默认处于关闭状态。请参阅 Wiki 了解更多详细信息、何人应打开此功能以及影响。

CVE-2014-3566 的评级为“高危”。它仅影响接受来自可信度更低的计算机的从服务器的安装，但这将允许此类从服务器的所有者对 Jenkins 发起远程代码执行攻击。

检测

FreeBSD：jenkins -- 源于从服务器的针对主服务器的任意代码执行 (0dad9114-60cc-11e4-9e84-0022156e8794)

medium Nessus 插件 ID 78815

未找到变更日志