CVE-2019-1003029

CVSS 9.9 CRITICALEPSS 74.3%● KEV

Em resumo

O plugin Jenkins Script Security tem uma falha que permite usuários com acesso básico de leitura contornar a proteção de sandbox e executar qualquer código no servidor Jenkins. Isso é perigoso porque dá aos atacantes controle total sobre o sistema Jenkins.

Detalhe técnico

Uma vulnerabilidade de contorno de sandbox no Jenkins Script Security Plugin versão 1.53 e anteriores permite que atacantes com permissão Overall/Read executem código arbitrário na JVM do Jenkins master. A falha está nas classes GroovySandbox e SecureGroovyScript, permitindo execução de código com privilégios do master Jenkins.

Resumo gerado e traduzido por IA a partir da descrição oficial.

A sandbox bypass vulnerability exists in Jenkins Script Security Plugin 1.53 and earlier in src/main/java/org/jenkinsci/plugins/scriptsecurity/sandbox/groovy/GroovySandbox.java, src/main/java/org/jenkinsci/plugins/scriptsecurity/sandbox/groovy/SecureGroovyScript.java that allows attackers with Overall/Read permission to execute arbitrary code on the Jenkins master JVM.

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Produtos afetados

Jenkins project · Jenkins Script Security Plugin

PoCs públicas encontradas — 1

cve_referencepacketstormsecurity.com/files/166778/Jenkins-Remote-Code-Execution.htmlnão verificado

⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.

Quer saber se a sua infraestrutura está exposta a isto?

Falar com a TrueHacking →

Referências

http://packetstormsecurity.com/files/166778/Jenkins-Remote-Code-Execution.html https://access.redhat.com/errata/RHSA-2019:0739 https://jenkins.io/security/advisory/2019-03-06/#SECURITY-1336%20%281%29 https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-1003029 http://www.securityfocus.com/bid/107476