【高危预警】Jenkins 核心持续集成服务器任意文件读取与凭据泄露漏洞（CVE-2024-23897）通报

【漏洞概述】
Jenkins 官方通报其内置的 CLI 接口依赖库 args4j 解析器在处理 `@` 参数标识符时存在特性滥用漏洞（CVE-2024-23897，CVSS 评分高达 9.8）。
未经认证或仅拥有受限读取权限的攻击者，可通过向 CLI 端点投递特制请求，诱骗系统读取宿主机任意文件并回显。
攻击者借此可读取 Jenkins 密钥文件（`master.key`、`hudson.util.Secret`），并进一步将系统中缓存的 Git 仓库 Token、云主机 AccessKey 以及数据库凭据批量解密导出。

【受影响版本】
• Jenkins 每周发布版本 <= 2.441
• Jenkins LTS 长期支持分支版本 <= 2.426.2

【修复处置建议】
1. 升级 Jenkins 至 2.442 或 2.426.3 及以上官方修复版本；
2. 临时缓解：若无法立即升级，可临时禁用 CLI 端点功能（通过在 Script Console 中执行官方禁用脚本）；
3. 鸿煌科技建议企业全面梳理 CI/CD 自动化部署流水线权限，防范代码供应链投毒。