ASA-2019-00089 – Jenkins: Bypass de sandbox no plugin Groovy


For the English version of this alert, click here.

Allele Security Alert

ASA-2019-00089

Identificador(es)

ASA-2019-00089, SECURITY-1293, CVE-2019-1003006

Título

Bypass de sandbox no plugin Groovy

Fabricante(s)

CloudBees, Inc

Produto(s)

Jenkins

Versão(ões) afetada(s)

Groovy Plugin até e incluindo 2.0

Versão(ões) corrigida(s)

Groovy Plugin versão 2.1

Prova de conceito

Desconhecida

Descrição

O Groovy Plugin possui um endpoint HTTP de validação de formulário usado para validar um script Groovy enviado pelo usuário por meio da compilação, que não estava sujeita à proteção do sandbox. Isso permitia que atacantes com acesso Overall/Read executassem código arbitrário no mestre Jenkins aplicando anotações de transformação AST como @Grab nos elementos do código-fonte.

O terminal HTTP afetado agora aplica uma configuração segura do compilador Groovy, evitando o uso de anotações de transformação AST inseguras.

Detalhes técnicos

Desconhecido

Créditos

Desconhecido

Referência(s)

Jenkins Security Advisory 2019-01-28
https://jenkins.io/security/advisory/2019-01-28/

Jenkins Plugins
https://plugins.jenkins.io/groovy

CVE-2019-1003006
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-1003006

CVE-2019-1003006
https://nvd.nist.gov/vuln/detail/CVE-2019-1003006

Se encontrou algum erro neste alerta ou deseja uma análise compreensiva, entre em contato.

Última modificação: 24 fevereiro 2019

Não somos responsáveis por qualquer perda de dados, corrupção de dispositivos ou qualquer outro tipo de problema devido ao uso de qualquer informação mencionada em nossos alertas de segurança.