Jenkins descriptorByName CpsFlowDefinition远程命令执行（CVE-2019-1003001）

CVE编号

CVE-2019-1003001

利用情况

漏洞武器化

补丁情况

官方补丁

披露时间

2019-01-23

漏洞描述

CloudBees Jenkins（Hudson Labs）是美国CloudBees公司的一套基于Java开发的持续集成工具。该产品主要用于监控持续的软件版本发布/测试项目和一些定时执行的任务。Pipeline：Groovy Plugin是其中的一个基于Java开发的持续集成工具中的流程构建插件。
CloudBees Pipeline： Groovy Plugin 2.61及之前版本中存在安全漏洞。攻击者可借助pipeline脚本利用该漏洞绕过沙盒保护，在Jenkins master JVM上执行任意代码。

解决建议

建议升级该插件至最新版本。

参考链接
http://packetstormsecurity.com/files/152132/Jenkins-ACL-Bypass-Metaprogrammin...
http://www.rapid7.com/db/modules/exploit/multi/http/jenkins_metaprogramming
https://access.redhat.com/errata/RHBA-2019:0326
https://access.redhat.com/errata/RHBA-2019:0327
https://jenkins.io/security/advisory/2019-01-08/#SECURITY-1266
https://www.exploit-db.com/exploits/46572/

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	jenkins	pipeline	_groovy		Up to (including) 2.61
	运行在以下环境
	应用	redhat	openshift_container_platform	3.11	-

阿里云评分 4.3

• 攻击路径 远程
• 攻击复杂度 容易
• 权限要求 普通权限
• 影响范围 有限影响
• EXP成熟度 漏洞武器化
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 10000

CWE-ID 漏洞类型 CWE-78 OS命令中使用的特殊元素转义处理不恰当（OS命令注入） NVD-CWE-Other