问题标签 [crlf-vulnerability]

我在端口 9043 上运行的 Linux 服务器上使用独立的最新 Jenkins 战争。

安全审计团队报告了以下 Jenkins URL 的“跨站点脚本 (XSS)”漏洞。

“64_Salve”恰好是我几年前配置的 Jenkins 从节点代理。

作为概念证明，他们分享了以下内容：

使用代理工具拦截请求并修改请求，如图所示。在浏览器中查看响应时，将下载文件，如图所示。

然后有一个弹出窗口提示打开保存的“python”文件。

您能否建议我如何解决此漏洞？

我的 Jenkins 在 https://myhost:9043 上运行，使用 Linux 上的独立战争和以下命令。

但是，当我尝试使用以下 URL 表示https://myhost:9043/<any random text>资源 uri 显然找不到时。

但是，问题是我在浏览器中的输出为

我不想透露 Jetty 版本。

有没有办法为不正确的 URI 显示自定义错误页面，从而避免泄露 Jetty 版本？如果不是，我可以以某种方式隐藏 Jetty 版本以不显示给匿名用户吗？

我不是纯 Java 程序员，只是 DevOps 管理员。

I run the latest jenkins as a standalone as below.

We used self-signed SSL certificate. When we access the Jenkins console and observe the HTTP response headers we see critical HTTP headers missing like for example X-XSS-Protection

We do not use or plan to use any web proxy but like to access the Jenkins URL directly https://localhost:9043

I already read this article but it does not seem to have any solution: https://issues.jenkins-ci.org/browse/JENKINS-24548

Can you please suggest how can i add the X-XSS-Protection for say to my Jenkins?

我创建了一个简单的spring web项目，项目中只有一个Controller，其代码为：

然后我尝试使用 curl 触发 CRLF 注入漏洞，如下所示：

但是所有通过 CRLF 返回的都被替换为空间：

那么，我如何编写一段易受 CRLF 注入攻击的代码呢？可能是因为Tomcat或Spring过滤了我的输入参数，所以这不起作用？但是我一直追踪代码，没有得到任何看起来像过滤器的代码。

我的 pom.xml 文件是：

我是nexus IQ问题的新手。当 Sonatype 的 Nexus IQ 扫描以下组件时，我得到“依赖关系超过 10 年”的限制。

组件名称：

蚂蚁：蚂蚁：2.7.7

javax.xml：jaxp-api：1.4.2

org.codehaus.jettison：抛弃：1.2

org.json : json : 20080701

我没有明确提到 pom.xml 中的任何上述依赖项。此外，应用程序中的任何地方都没有提到 JSON 版本。

这是一个 slf4j 记录器，我一直在尝试使用 2 个消息参数记录错误。

SSG_TIMEOUT.getErrorText()结果为字符串"TimeOut error encountered"

我用过的东西

1. 手动清理代码

2. StringEscapeUtils.escapeJson(String errorMessage)

3. 附加字符串的字符串生成器 +escapeJson(StringBuilder.toString())

我仍然在我的 veracode 报告中看到了这个问题。

有什么建议么？

在我的 Spring Java 应用程序中，扫描工具显示拒绝服务漏洞：ReadLine forModelAttribute ("someFormBean")

这是什么意思？如何解决这个问题？

漏洞修复的含义是什么以及如何实现它。请指教。谢谢你。

(1)建议实施允许服务和主机的白名单，并阻止任何未出现在此白名单上的交互。

(2) 建议阻止应用服务器对其他内部系统的网络访问，并对应用服务器本身进行加固以移除本地环回适配器上的任何可用服务

我需要在 Windows Server 2016 中禁用以下弱 TLS 密码。我尝试重新搜索并显示“Microsoft SCHANNEL 团队不支持直接操作注册表中的组策略和默认密码套件位置”请告知。先感谢您。

我的应用被 Play 商店拒绝，说存在 webview 漏洞（跨应用脚本漏洞）。

在做了一些研发之后，我在使用 webview 的活动中添加了“android:exported=false”。

但是，由于跨应用脚本漏洞，我再次从 Playstore 收到了相同的 App 被拒绝。

谁能建议我我们需要做些什么来克服这个问题并需要部署到游戏商店。

提前致谢。