Jenkins 團隊的 Kohsuke Kawaguchi 報告：

以前，Jenkins 的主要伺服器與從屬伺服器的行為就像它們共同形成單一發佈處理程序一樣。這表示從屬伺服器可以要求主要伺服器在作業系統的限制之內做任何事情，例如在主要伺服器上存取檔案，或在 Jenkins 上觸發其他工作。

這個問題已經越來越嚴重，因為較大企業部署開發了更複雜的信任分隔模型，主要伺服器的系統管理員可能取用其他團隊擁有的從屬伺服器。在此類環境中，從屬伺服器的可信任程度低於主要伺服器。但並未妥善地與使用者溝通「單一發佈處理程序」的假設，導致在某些部署中存在弱點。

SECURITY-144 (CVE-2014-3665) 引入新的子系統來解決此問題。因為相容性的原因，此功能預設為關閉。如需詳細資訊、誰應該開啟此功能，以及影響的資訊，請參閱 Wiki。

CVE-2014-3566 等級評為高。它只對從較不受信任的電腦接受從屬伺服器的安裝產生影響，但這將允許此類從屬伺服器的擁有者對 Jenkins 發動遠端程式碼執行攻擊。

偵測

FreeBSD：jenkins -- 主要伺服器上源自從屬的任意程式碼執行 (0dad9114-60cc-11e4-9e84-0022156e8794)

medium Nessus Plugin ID 78815

找不到變更記錄