Trusted Design

解説:

CVE-2019-1003029に関する調査結果は以下の通りです。

1. 脆弱性の概要

Jenkins Script Security Pluginにおけるサンドボックスバイパスの脆弱性です。保護メカニズムの不備により、攻撃者がサンドボックスを回避し、JenkinsマスターJVM上で任意のコードを実行できる可能性があります。

1.1 影響

本脆弱性は、攻撃者がJenkinsマスターJVM上で任意のコードを実行することを可能にします。これにより、データ機密性、整合性、およびシステム可用性に対する重大な脅威となります。 CISAの既知の悪用されている脆弱性（KEV）カタログにも追加されており、実際に悪用が確認されています。

1.2 深刻度

• Red Hatは本脆弱性を「Important」と評価しており、CVSS v3スコアは8.8です。
• 別の情報源では、CVSSスコアが9.9（Critical）とされています。
• CISAの既知の悪用されている脆弱性（KEV）カタログに掲載されており、実際の標的に対して悪用されたという信頼できる証拠があります。

2. 対象となる環境

Jenkins Script Security Pluginのバージョン1.53およびそれ以前のバージョンに影響があります。 また、一部の情報源ではバージョン1.55以前と記載されています。 本脆弱性が影響を及ぼすJenkinsのバージョンとして、Jenkins 2.53, 2.122, 2.137, 2.138 (ANONYMOUS_READ有効時), 2.152 (ANONYMOUS_READ有効時), 2.153 (ANONYMOUS_READ有効時) と、Script Security Plugin 1.43, 1.48 でのテストが言及されています。

2.1 影響を受けるOSバージョン

本脆弱性はJenkinsプラグインに起因するため、特定のOSバージョンに直接紐づくものではありません。Jenkinsが動作する基盤OSのバージョンは問わず影響を受けます。

2.2 影響を受ける設定

本脆弱性の悪用には、攻撃者が「Overall/Read」権限を持っている必要があります。 また、特定のJenkinsバージョンではANONYMOUS_READが有効になっているか、通常のユーザーアカウントを持っている場合に影響を受けます。

3. 影響を受けた時の兆候

本脆弱性が悪用された場合、攻撃者によってJenkinsマスターJVM上で任意のコードが実行されるため、以下のような兆候が考えられます。 * Jenkins環境における不正な設定変更やデータの改ざん、削除。 * Jenkins上で意図しないプロセスの実行や、外部システムへの不正なアクセス。 * システムリソースの異常な消費。 * 管理者ログなどに、身に覚えのない操作履歴が記録される。

4. 推奨対策

4.1 本対策

直ちにJenkins Script Security Pluginを脆弱性が修正されたバージョンにアップデートすることが必須です。 具体的には、Script Security Pluginのバージョン1.54以降にアップデートする必要があります。

4.2 暫定回避策（緩和策）

明確な暫定回避策は情報として見つかりませんでした。根本的な解決策として、対象プラグインの速やかなアップデートが推奨されます。

参照したサイト

• CVE-2019-1003029: Jenkins Script Security Plugin Sandbox Bypass Vulnerability
• CVE-2019-1003029 - Red Hat Customer Portal
• CVE-2019-1003029 | Critical Vulnerability in Jenkins Script Security Plugin
• Jenkins漏洞集合复现 - Misaki's Blog
• GitHub - orangetw/awesome-jenkins-rce-2019: There is no pre-auth RCE in Jenkins since May 2017, but this is the one!