CVE-2019-1003041

Obejście sandbox w Jenkins Pipeline: Groovy Plugin — dowolne konstruktory

CVSS 9.8v3.1pub. 2019-03-28upd. 2024-11-21

Podatność w Jenkins Pipeline: Groovy Plugin w wersji 2.64 i wcześniejszych pozwala atakującym na obejście mechanizmu sandbox i wywołanie dowolnych konstruktorów w skryptach Groovy. Jest to krytyczne zagrożenie, ponieważ umożliwia wykonanie nieautoryzowanego kodu w środowisku CI/CD bez żadnych uprawnień.

▸ Pokaż oryginał (EN)

A sandbox bypass vulnerability in Jenkins Pipeline: Groovy Plugin 2.64 and earlier allows attackers to invoke arbitrary constructors in sandboxed scripts.

🤖 Analiza AI

Jak działa

Jenkins Pipeline: Groovy Plugin stosuje mechanizm sandbox (piaskownicy) w celu ograniczenia możliwości wykonywania potencjalnie niebezpiecznych operacji w skryptach Groovy uruchamianych w pipeline. Podatność (CWE-470 — użycie zewnętrznie kontrolowanej nazwy do wywołania klasy lub kodu) pozwala atakującemu na ominięcie tych ograniczeń poprzez bezpośrednie wywołanie dowolnych konstruktorów klas Java. W efekcie skrypt działający rzekomo w bezpiecznym środowisku sandbox może wykonywać operacje normalnie przez nie zakazane.

Skutki

Atakujący może wykonać dowolny kod na serwerze Jenkins, co prowadzi do pełnego naruszenia poufności, integralności i dostępności systemu, w tym potencjalnego przejęcia kontroli nad infrastrukturą CI/CD.

Mitygacja

Należy zaktualizować Jenkins Pipeline: Groovy Plugin do wersji nowszej niż 2.64. Dla użytkowników Red Hat OpenShift Container Platform należy zastosować patche wskazane w erracie RHSA-2019:1423. Szczegółowe informacje dostępne w komunikacie bezpieczeństwa Jenkins z 2019-03-25.