无语!Jenkins 也宣布弃用 Java 8。。

VSole2022-08-14 17:43:49

开源 Devops 工具 Jenkins 宣布:从 6 月 28 日发布的 Jenkins 2.357 和即将发布的 9 月 LTS 版本开始,Jenkins 最低需要 Java 11。

Jenkins 最初称为 Hudson ,是一款老牌持续集成工具,至今已创立十多年。自 2005 年成立以来,Jenkins 项目经历了多次 Java 迁移。目前从 Java 8 到 Java 11 的迁  移与 Jenkins 项目中的迁移历史是一致的。

开发者 Basil Crow 在博客中解释称:Jenkins 项目在短期内可能会保留在 Java 8 上,但出于几个原因,这样做是弊大于利。首先,Jenkins 项目使用的许多关键第三方库(例如,Jetty、JGit、Spring Framework 和 Spring Security)开始需要更新版本的 Java,而停留在 Java 8 上会使 Jenkins 项目无法从上游项目接收安全更新。

此外,新版本 Java 对 Java 平台进行了显着的运行时改进。例如,LinkedIn 在迁移到 Java 11 时看到了显着的性能改进,而 Adoptium 在迁移到 Java 11 时看到了显着的内存使用改进(在 Jenkins 上同样如此),而最近的 Java 运行时则提供了许多对垃圾收集的改进。

最后,保持 Java 的当前版本有助于 Jenkins 吸引和留住开发人员。

目前,官方的 Jenkins Docker 镜像 已经基于 Java 11 好几个月了,Java 8 暂时还可作为备选,Java 17 可在预览模式下使用。但是从 Jenkins 2.357 开始,Java 8 映像就将被淘汰,Java 17 映像从预览版过渡到一般可用性 (GA)。

事实上 Jenkins 团队更推荐用户使用 Java 17 :

Jenkins 对 Java 17 的支持是全新的,不过它还没有达到在 Jenkins 社区内普遍采用的阶段。
尽管如此, 我们的经验是 Java 17 是比 Java 11 更可靠的选择,我们可以自信地说,从 Java 11 迁移到 Java 17 不会像从 Java 8 迁移到 Java 11 那样痛苦。

相关链接:https://www.jenkins.io/blog/2022/06/28/require-java-11/

jenkins
本作品采用《CC 协议》,转载必须注明作者和本文链接
近日云安全公司Aqua表示,在Jenkins开源自动化服务器中发现两个严重的安全漏洞,可能导致代码执行攻击。漏洞编号为CVE-2023-27898和CVE-2023-27905,主要影响2.319.2之前的所有版本。Jenkins根据调查表示,利用这些漏洞可能允许未经身份验证的攻击者在受害者的服务器上执行任意代码,可能导致服务器完全受损。目前,Jenkins已修补漏洞,发布了版本更新。
Jenkins漏洞利用复现
2021-11-17 08:08:12
也可以利用powershell 或者python脚本反弹shell二、CVE-2018-1000861?exploit.py这里要注释下,如果你使用代理的话可以添加,这里只是复现,用不到?另外一个linux写shell的小技巧:echo base64后的木马内容 |base64 -d > 1.js. jsp生成成功四、
2021年11月16日,360漏洞云团队监测到Jenkins发布安全公告,修复了6个存在于插件中的高危漏洞。
Jenkins Server 软件中的一个严重漏洞CVE-2019-17638可能导致内存损坏并导致机密信息泄露。Jenkins是最受欢迎的开源自动化服务器,由CloudBees和Jenkins社区维护。“ Jenkins 至和LTS 至捆绑了带有安全漏洞CVE-2019-17638的。此漏洞可能允许未经身份验证的攻击者获得HTTP响应报头,其中可能包含打算用于其他用户的敏感数据。”该漏洞影响Jetty和Jenkins Core,该漏洞在Jetty版本中引入,用于处理大型HTTP响应报头并防止缓冲区溢出。
逆推这个漏洞本身不难,主要记录下思路。
宣布:从 6 月 28 日发布的 Jenkins 2.357 和即将发布的 9 月 LTS 版本开始,Jenkins 最低需要 Java 11。自 2005 年成立以来,Jenkins 项目经历了多次 Java 迁移。
据悉,美国网络安全和基础设施安全局(CISA)在其积极利用漏洞列表中添加了7个漏洞,其中包括来自Microsoft、Linux和Jenkins的漏洞。 “已知被利用漏洞目录”是已知在网络攻击中被积极利用并需要由联邦民事执行局(FCEB)修补的漏洞列表。 美国网络安全和基础设施安全局(CISA)表示,该目录根据 约束操作指令(BOD)22-01:降低已知被利用漏洞的重大风险 建立,作为记录已知会
前言学习笔记-请勿当真。如有错误-也很正常。练习地址https://katacoda.com/madhuak
本文介绍了如何用流行开源工具搭建完整的DevSecOps流程。
据BleepingComputer报道,黑客论坛泄露的禁飞名单与数日前美国航空公司CommuteAir服务器上公开暴露的TSA禁飞名单相同。此事让美国政府机构颜面尽失,相关政府官员和立法者已经展开调查问责工作。TSA还向所有航空公司发送行业安全意识信息,敦促审查信息系统并立即采取行动以确保数据安全。种种迹象表明,禁飞名单泄露事件很可能已经上升为重大美国国家安全问题。
VSole
网络安全专家