一、漏洞简介¶

1.1 漏洞背景¶

2018年12月5日，Jenkins 官方发布了史上最严重的安全漏洞之一。该漏洞存在于 Jenkins 使用的 Stapler Web 框架中，攻击者可以通过精心构造的 URL 调用 Java 对象上本不应被外部访问的方法，从而实现远程代码执行。

Stapler 框架的设计理念是通过反射机制自动将 URL 映射到 Java 对象的方法。这种自动路由机制虽然提供了便利，但也带来了巨大的安全风险。

此漏洞同样被列入 CISA 已知被利用漏洞目录 (KEV)，是历史上影响最广泛的 Jenkins 漏洞之一。

1.2 漏洞概述（包含 CVE 编号、危害等级、漏洞类型、披露时间等）¶

项目	内容
漏洞编号	CVE-2018-1000861
危害等级	CRITICAL / 9.8
漏洞类型	Jenkins Stapler 远程代码执行漏洞
披露时间	2018-12-10
影响组件	Jenkins 重大

属性	内容
CVE 编号	CVE-2018-1000861
危害等级	严重 (Critical)
CVSS 评分	9.8 (CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
漏洞类型	CWE-502: 反序列化不可信数据
利用条件	无需认证（部分攻击），或仅需 Overall/Read 权限
影响组件	Stapler Web Framework
**CISA 状态

补充核验信息：公开时间：2018-12-10；NVD 评分：9.8（CRITICAL）；CWE：CWE-502。

二、影响范围¶

2.1 受影响的版本¶

<= 2.138.3
<= 2.153
上述范围来自 NVD 配置项；具体分支与发行版适配关系仍应以厂商公告为准。

2.2 不受影响的版本¶

2.138.3 及其后续修复分支
2.153 及其后续修复分支
若存在长期维护分支，请以官方安全公告或发布说明中的修复版本为准。

2.3 触发条件（如特定模块、特定配置、特定运行环境等）¶

需要存在可被远程或本地触达的相关接口、服务、插件或默认配置条件；原文与公开资料未给出更精确的统一触发条件。

三、漏洞详情与原理解析¶

3.1 漏洞触发机制¶

原文已给出漏洞利用链路时已保留；若官方未公开更细粒度说明，本文不对触发细节作额外推演。

3.2 源码层面的根因分析（结合源码与补丁对比）¶

公开补丁或官方公告显示该问题已在后续版本中修复，但当前公开资料未必都提供逐函数级补丁差异。撰写时优先引用官方公告、发布说明或补丁链接；若缺少可验证源码上下文，本文不对未公开实现细节作推测。

四、漏洞复现（可选）¶

4.1 环境搭建¶

暂无公开可验证复现信息。

4.2 PoC 演示与测试过程¶