Jenkins版本升级提醒和一个小发现

Posted 2021-04-07 JenkinsCI

Jenkins官方发布升级提醒

2017年10月11日，Jenkins社区发布重要更新提醒：社区刚刚发布了Jenkins的安全更新，请大家及时升级

1. Jenkins Weekly 版本请升级到 2.84

2. Jenkins LTS 版本请升级到 2.73.2

3. Maven Plugin 版本请审计过到 3.0

4. Swarm Plugin（Client）版本请升级到 3.5

提醒大家，升级Jenkins前一定要做好文件数据的备份！

安全问题修复

这两个版本修复了数个内核的安全漏洞，以及Swarm插件和Maven Plugin 3.0的安全问题，这两个插件的用户请及时升级。详细安全问题简要摘要：

1. 只拥有Slave权限的用户可以在master中任意执行Shell命令

2. Jenkins 内核使用的第三方文件上传依赖包存在漏洞

4. Jenkins 内核使用的第三方httpclient依赖包存在漏洞

5. Maven插件使用的第三方httpclient依赖包存在漏洞

6. Swarm Plugin Client使用的第三方httpclient依赖包存在漏洞

受影响的版本：

1. Jenkins Weekly版本

2. Jenkins LTS版本详细可以参考：Jenkins Security Advisory 2017-10-11

停止使用Speaks! Plugin

官方已经下架该插件，强烈强烈建议大家不再使用。小编去查了一下，原来还有这么奇葩的软件，如果Jenkins Master机器上有声卡，可以发布声音，感觉好诡异的样子！

小发现

发现最终解析到了：http://mirrors.tuna.tsinghua.edu.cn/jenkins/plugins/BlazeMeterJenkinsPlugin/3.0/BlazeMeterJenkinsPlugin.hpi

原来， 清华大学开源软件镜像站已经做了Jenkins 安装包以及插件的镜像库

1. 按操作系统提供Jenkins Core安装包

2. updates目录下存储了default.json文件要更新的源文件

3. plugins目录下即为所有插件的实际存储位置

如果是企业内网，和互联网隔离，在使用插件是可以：

1. 下载插件文件后上传安装

2. 自己搭建镜像仓库