CVE-2019-1003029: Bypass de Sandbox no Plugin Jenkins Script Security Permite Execução de Código

Visão geral

A CVE-2019-1003029 afeta o Jenkins Script Security Plugin na versão 1.53 e anteriores. O registro descreve um bypass de sandbox que permite a um usuário com permissão Overall/Read executar código arbitrário na JVM do master do Jenkins. O aviso do Jenkins citado no registro é o aviso de segurança do Jenkins de 2019-03-06.

Impacto

O registro descreve execução de código na JVM do master do Jenkins.
O privilégio exigido é Overall/Read, um papel autenticado de baixo privilégio, o que corresponde ao componente PR:L vetor CVSS.
A NVD informa pontuação CVSS 3.1 base de 9.9 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade. A NVD também informa pontuação CVSS 2.0 de 6.5.

Produtos e versões afetados

Jenkins Script Security Plugin 1.53 e anteriores, conforme listado no registro.
O Red Hat OpenShift Container Platform 3.11 aparece na lista de afetados do registro, mas o registro não explica como ele é afetado. Veja o aviso da Red Hat RHSA-2019:0739.
O registro não contém versão corrigida.

Status de exploração

A CISA inclui esta CVE no catálogo de vulnerabilidades exploradas conhecidas, com data de inclusão em 2022-04-25 e prazo em 2022-05-16. O uso em ransomware está registrado como desconhecido. Veja o catálogo KEV da CISA.
O valor SSVC de exploração no registro é ativo, e a automatização está registrada como não.
O registro informa probabilidade EPSS de 0.7444 com percentil de 0.99487.

Remediação e mitigação

Identifique instalações do Script Security Plugin na versão 1.53 ou anteriores, inclusive nos controladores master do Jenkins.
Aplique atualizações conforme as instruções do fornecedor, como indica a ação exigida do KEV. Use o aviso do Jenkins para identificar a versão corrigida, já que o registro não a informa.
Restrinja o acesso Overall/Read e outros acessos de baixo privilégio ao Jenkins a usuários confiáveis.
Verifique se usuários não confiáveis tiveram acesso a controladores que executam este plugin.

Orientação para detecção

Faça o inventário das versões do plugin em todos os controladores Jenkins e compare com a faixa afetada.
Revise os logs de auditoria e de builds do Jenkins em busca de execuções de script inesperadas ou atividade incomum de contas de baixo privilégio.
Quando a telemetria permitir, monitore a JVM do master em busca de processos filhos inesperados ou conexões de saída.

Limitações das informações disponíveis

O registro não informa a versão corrigida do Script Security Plugin.
O campo CWE está nulo no registro.
O registro não descreve o mecanismo do bypass além dos arquivos de código listados.
O registro não explica o impacto no Red Hat OpenShift Container Platform 3.11.
O registro não confirma a disponibilidade pública de exploits.

Perguntas frequentes

Quais versões do Jenkins Script Security Plugin são afetadas pela CVE-2019-1003029?

O registro lista a versão 1.53 e anteriores do Jenkins Script Security Plugin como afetadas. Compare a versão instalada com o aviso do Jenkins.

A CVE-2019-1003029 é explorada na prática?

Sim. O registro mostra que a CVE consta no catálogo de vulnerabilidades exploradas conhecidas da CISA, incluída em 2022-04-25 com prazo em 2022-05-16.

O registro informa uma versão corrigida?

Não. O registro não informa a versão corrigida, então use o aviso do Jenkins e as instruções do fornecedor para identificar a versão que resolve o problema.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.