← volver
CVE-2019-1003030

CVE-2019-1003030

CVSS 9.9 CRITICALEPSS 76.0%● KEVCWE-693
En resumen

El plugin Jenkins Pipeline tenía una protección de sandbox que podía ser eludida por atacantes que controlan scripts de pipeline, permitiendo ejecutar código arbitrario en el servidor Jenkins. Esto es crítico porque los servidores Jenkins generalmente tienen acceso a sistemas sensibles y credenciales.

Detalle técnico

Una vulnerabilidad de bypass de sandbox en Jenkins Pipeline: Groovy Plugin versión 2.63 y anteriores permite que atacantes con control de scripts de pipeline ejecuten código arbitrario en la JVM de Jenkins master eludiendo las restricciones del sandbox Groovy. La vulnerabilidad es explotable cuando un atacante puede influir en definiciones de pipeline, potencialmente llevando al compromiso completo de la instancia Jenkins y sistemas conectados.

Resumen generado y traducido por IA a partir de la descripción oficial.
A sandbox bypass vulnerability exists in Jenkins Pipeline: Groovy Plugin 2.63 and earlier in pom.xml, src/main/java/org/jenkinsci/plugins/workflow/cps/CpsGroovyShell.java that allows attackers able to control pipeline scripts to execute arbitrary code on the Jenkins master JVM.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Productos afectados
Jenkins project · Jenkins Pipeline: Groovy Plugin
PoCs públicas encontradas — 3
githubgithub.com/overgrowncarrot1/CVE-2019-1003030★ 1cve_referencepacketstormsecurity.com/files/159603/Jenkins-2.63-Sandbox-Bypass.htmlno verificadoexploitdbwww.exploit-db.com/exploits/48904no verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.

¿Quieres saber si tu infraestructura está expuesta a esto?

Hablar con TrueHacking →
Referencias
http://packetstormsecurity.com/files/159603/Jenkins-2.63-Sandbox-Bypass.htmlhttps://access.redhat.com/errata/RHSA-2019:0739https://jenkins.io/security/advisory/2019-03-06/#SECURITY-1336%20%282%29https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-1003030http://www.securityfocus.com/bid/107476