一、基本情况
Jenkins是一个开源的、提供持续集成服务（CI）的软件平台。Jenkins Script Security插件是一个用于增强Jenkins安全性的插件，它提供了对Jenkins中Groovy脚本执行的细粒度控制；该插件提供了沙箱功能，允许低权限用户定义通常可以安全执行的脚本，包括管道。
二、漏洞描述
Jenkins Script Security插件中修复了两个沙箱绕过漏洞，其CVSS评分均为8.8，详情如下：
CVE-2024-34144：Jenkins Script Security插件沙箱绕过漏洞
Jenkins Script Security插件1335.vf07d9ce377a_e 及之前版本中，调用其他构造函数的恶意设计的构造函数体可用于通过隐式强制转换构造任何可子类化的类型，具有定义和运行沙箱脚本（包括管道）权限的威胁者可利用该漏洞绕过沙箱保护并在Jenkins控制器 JVM上下文中执行任意代码。
CVE-2024-34145：Jenkins Script Security插件沙箱绕过漏洞
Jenkins Script Security插件1335.vf07d9ce377a_e 及之前版本中，由沙箱定义的Groovy类，如果它们覆盖了特定的非沙箱定义的类，可以被用来构造任何可子类化的类型，恶意代码可能会利用该机制来绕过安全限制。具有定义和运行沙箱脚本（包括管道）权限的威胁者可利用该漏洞绕过沙箱保护并在Jenkins控制器 JVM上下文中执行任意代码。
三、影响范围
Jenkins Script Security插件 <= 1335.vf07d9ce377a_e
是、修复建议
目前这些漏洞已经修复，受影响用户可更新到Jenkins Script Security插件1336.vf33a_a_9863911或更高版本。
