Podatności Jenkins Script Security Plugin

Wtyczka Script Security w Jenkins przed wersją 1.18.1 może pozwolić zdalnym atakującym na obejście mechanizmu ochrony Groovy sandbox poprzez wtyczkę, która wykonuje bezpośredni dostęp do pól lub operacje get/set na tablicach.

Wtyczka Jenkins Script Security w wersji 1415.v9a_f9b_3a_c253d i wcześniejszych nie sprawdza wywołań z skryptów w sandboxie do metod dodawanych dynamicznie do klasy w czasie działania, co pozwala atakującym z uprawnieniami do definiowania i uruchamiania skryptów w sandboxie, w tym Pipeline'ów, na ominięcie ochrony sandboxa i wykonanie kodu poza nim.

Wtyczka Jenkins Script Security w wersji 1415.v9a_f9b_3a_c253d i wcześniejszych pobiera plik JAR określony przez URL dwukrotnie, zatwierdzając pierwsze pobranie i ładując wpisy classpath z drugiego, co pozwala atakującym zdolnym do definiowania wpisów classpath na wykonanie dowolnego kodu w kontekście JVM kontrolera Jenkins.

Wtyczka Jenkins Script Security w wersji 1415.v9a_f9b_3a_c253d i wcześniejszych automatycznie zatwierdza wpisy classpath w konfiguracji elementu, gdy użytkownik z uprawnieniami Overall/Administer kopiuje element lub aktualizuje tę konfigurację przez REST API lub CLI, co pozwala atakującym zdolnym do definiowania wpisów classpath na wykonanie dowolnego kodu w kontekście JVM kontrolera Jenkins.

Wtyczka Jenkins Script Security w wersji 1415.v9a_f9b_3a_c253d i wcześniejszych nie odrzuca adnotacji @Builder, których członek builderStrategy wskazuje dowolną klasę, co pozwala atakującym z uprawnieniami do definiowania i uruchamiania skryptów w sandboxie, w tym Pipeline'ów, na wykonanie kodu poza sandboxem, jeśli odpowiednia klasa znajduje się w classpath komponentu oceniającego skrypt.

Wtyczka Jenkins Script Security w wersji 1415.v9a_f9b_3a_c253d i wcześniejszych nie odrzuca adnotacji @GroovyASTTransformationClass, co pozwala atakującym z uprawnieniami do definiowania i uruchamiania skryptów w sandboxie, w tym Pipeline'ów, na uruchomienie dowolnej transformacji AST w czasie kompilacji, omijając ochronę sandboxa i wykonując dowolny kod w kontekście JVM kontrolera Jenkins.

Wtyczka Jenkins Script Security w wersji 1415.v9a_f9b_3a_c253d i wcześniejszych sprawdza operacje, które Groovy wykona na elementach odczytanych z kolekcji, którą skrypt w sandboxie rzutuje na inny typ, ale wykonuje rzutowanie na samej kolekcji, co pozwala atakującym z uprawnieniami do definiowania i uruchamiania skryptów w sandboxie, w tym Pipeline'ów, na ominięcie ochrony sandboxa i wykonanie dowolnego kodu w kontekście JVM kontrolera Jenkins.

Wtyczka Jenkins Script Security w wersji 1415.v9a_f9b_3a_c253d i wcześniejszych nie przechwytuje operacji wykonywanych na odbiorcy null (wywołania metod, dostęp do właściwości i atrybutów oraz dostęp do tablic), co pozwala atakującym z uprawnieniami do definiowania i uruchamiania skryptów w sandboxie, w tym Pipeline'ów, na ominięcie ochrony sandboxa i wykonanie dowolnego kodu w kontekście JVM kontrolera Jenkins.

Wtyczka Jenkins Script Security w wersji 1415.v9a_f9b_3a_c253d i wcześniejszych nie sprawdza metody wywoływanej przez proxy utworzone, gdy skrypt w sandboxie koercji wartość do interfejsu, jeśli wartość dziedziczy metodę o tej samej nazwie co metoda interfejsu, co pozwala atakującym z uprawnieniami do definiowania i uruchamiania skryptów w sandboxie, w tym Pipeline'ów, na ominięcie ochrony sandboxa i wykonanie dowolnego kodu w kontekście JVM kontrolera Jenkins.

Wtyczka Script Security dla Jenkinsa w wersji 1412.v7737b_3405f86 i wcześniejszych nie egzekwuje sprawdzenia uprawnień w metodzie kontrolującej ustawienie "Force the use of the sandbox globally in the system", co pozwala atakującym na jego wyłączenie przez wiązanie danych Stapler.

Wtyczka Script Security dla Jenkinsa w wersji 1412.v7737b_3405f86 i wcześniejszych używa adnotacji `@DataBoundConstructor` na konstruktorze, który ładuje konfigurację zatwierdzania skryptów, co pozwala atakującym, którzy mogą przesłać określone formularze, na odczytanie tej konfiguracji.

Wtyczka Jenkins Script Security w wersji 1402.v94c9ce464861 i wcześniejszych nie odrzuca adnotacji transformacji AST Groovy zawierających element extensions, co umożliwia atakującym zdolnym do uruchamiania skryptów Groovy w piaskownicy wykonanie kodu poza piaskownicą, jeśli odpowiedni skrypt znajduje się w ścieżce klas komponentu oceniającego skrypt.