CVE-2019-1003030criticalbajo ataqueCWE-693

CVE-2019-1003030: fallo crítico en Jenkins Pipeline: Groovy Plugin

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Jenkins Pipeline: Groovy Plugin+ Monitorear Jenkins Matrix Project Plugin

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.9epss 97%
de la publicación al arma591 días
Publicada en NVD8 mar
1ª PoC+591d
CISA KEV+1113d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
6 productos (10 componentes)
Red Hat OpenShift Container Platform 3.10 · Red Hat OpenShift Container Platform 3.6 · Red Hat OpenShift Container Platform 3.7 · Red Hat OpenShift Container Platform 3.9 · Red Hat OpenShift Container Platform 3.4 · y otros 1
no_fix_planned: Will not fix
Corregido
1 producto (2 componentes)
Red Hat OpenShift Container Platform 3.11
corrección ↗
No afectado
1 producto (2 componentes) — porque el código vulnerable no está presente en el producto
Red Hat OpenShift Container Platform 4
Acción exigida por CISAplazo federal: 2022-04-15

Apply updates per vendor instructions.

En resumen

El plugin Jenkins Pipeline tenía una protección de sandbox que podía ser eludida por atacantes que controlan scripts de pipeline, permitiendo ejecutar código arbitrario en el servidor Jenkins. Esto es crítico porque los servidores Jenkins generalmente tienen acceso a sistemas sensibles y credenciales.

Detalle técnico

Una vulnerabilidad de bypass de sandbox en Jenkins Pipeline: Groovy Plugin versión 2.63 y anteriores permite que atacantes con control de scripts de pipeline ejecuten código arbitrario en la JVM de Jenkins master eludiendo las restricciones del sandbox Groovy. La vulnerabilidad es explotable cuando un atacante puede influir en definiciones de pipeline, potencialmente llevando al compromiso completo de la instancia Jenkins y sistemas conectados.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

A sandbox bypass vulnerability exists in Jenkins Pipeline: Groovy Plugin 2.63 and earlier in pom.xml, src/main/java/org/jenkinsci/plugins/workflow/cps/CpsGroovyShell.java that allows attackers able to control pipeline scripts to execute arbitrary code on the Jenkins master JVM.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Productos afectados
Jenkins project · Jenkins Pipeline: Groovy Plugin
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Jenkins Pipeline: Groovy Plugin

En el mismo producto, de las más peligrosas a las menos.

CVE-2019-1003041—CVE-2019-1003041EPSS 3.4%CVE-2022-25176—CVE-2022-25176EPSS 1.7%CVE-2022-43402—CVE-2022-43402EPSS 1.5%CVE-2022-25173—CVE-2022-25173EPSS 1.4%CVE-2022-30945—CVE-2022-30945EPSS 1.4%CVE-2020-2109—CVE-2020-2109EPSS 1.3%