Jenkins 未授权与脚本控制台风险

Jenkins 默认允许匿名用户查看部分内容；若匿名权限过大或凭据泄露，脚本控制台（Script Console）等价于任意代码执行；历史版本还有 CLI 文件读取等 CVE。

加固要点

1. 关闭匿名权限：安全矩阵中匿名仅保留必要项
2. 管理员使用强口令 + 双因素
3. 禁用不必要的 CLI（或限制端口来源）
4. 及时升级，关注安全公告中的插件漏洞
5. 凭据改为 Credentials 插件管理，避免明文写在任务里

curl -s --max-time 3 http://<目标IP>:8080/api/json | head -c 200
# 返回 JSON 说明未拦截匿名访问，需核对匿名授权范围

构建系统掌握源码与部署凭据，入侵后果常扩散到代码仓库与生产环境。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌