Trusted Design

解説:

CVE-2019-1003030に関する調査結果を以下に解説します。

---

1. 脆弱性の概要

CVE-2019-1003030は、JenkinsのPipeline: Groovy Pluginにおけるサンドボックスバイパスの脆弱性です。細工されたGroovyスクリプトが解析、コンパイル、およびスクリプトのインスタンス化の際にサンドボックスを回避し、攻撃者がJenkinsマスター上で任意のコードを実行できる可能性があります。 この脆弱性は、不適切な入力検証（CWE-20）と保護メカニズムの欠陥（CWE-693）に関連しています。

1.1 影響

攻撃者はJenkinsマスターJVM上で任意のコードを実行することができます。 これにより、機密データの漏洩、データの改ざん、およびシステムの可用性喪失といった影響が生じる可能性があります。

1.2 深刻度

この脆弱性のCVSS v3.1基本スコアは9.9（緊急）と評価されています。 CVSSベクターはAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:Hです。 また、CISAのKnown Exploited Vulnerabilities (KEV) カタログに掲載されており、実際に悪用が確認されている脆弱性です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はJenkinsのプラグインに起因するものであり、特定のOSバージョンに限定されるものではありません。ただし、Red Hat Enterprise Linux CoreOS 3上のjenkins-2-pluginsパッケージも影響を受けるとされています。 根本的にはJenkinsマスターJVMが影響を受けます。

2.2 影響を受ける設定

• Jenkins Pipeline: Groovy Plugin バージョン 2.63 およびそれ以前
• Jenkins Script Security Plugin、Matrix Project Plugin、Email Extension Pluginなど、Groovyスクリプト処理を使用する他の関連プラグインも同様のサンドボックスバイパスの問題を抱えていました。
• 攻撃者がパイプラインスクリプトの内容を制御できる場合に悪用可能です。
• Overall/Read権限を持つユーザー、またはJenkinsfileやサンドボックス化されたPipeline共有ライブラリの内容をSCMで制御できるユーザーが影響を受けます。

3. 影響を受けた時の兆候

この脆弱性は任意のコード実行（RCE）を可能にするため、悪用された際の直接的な兆候は多岐にわたりますが、一般的には以下のような異常が考えられます。

• Jenkinsマスター上で意図しないコマンドが実行される。
• ファイルや設定が改ざん、または削除される。
• Jenkinsサービスのパフォーマンス低下や予期せぬ停止が発生する。
• Jenkins環境から外部への不審なネットワーク接続が確認される。
• 通常ではありえないプロセスの実行やデータの不正取得。

4. 推奨対策

4.1 本対策

• Pipeline: Groovy Plugin をバージョン 2.64 以降にアップデートしてください。
• 以下の関連プラグインも併せて更新してください。
  • AppDynamics Dashboard Plugin: 1.0.15以降
  • Azure VM Agents Plugin: 0.8.1以降
  • Bitbar Run-in-Cloud Plugin: 2.70.0以降
  • Email Extension Plugin: 2.65以降
  • Groovy Plugin: 2.2以降
  • Job DSL Plugin: 1.72以降
  • Matrix Project Plugin: 1.14以降
  • OSF Builder Suite For Salesforce Commerce Cloud :: Deploy Plugin: 1.0.11以降
  • Rabbit-MQ Publisher Plugin: 1.2.0以降
  • Repository Connector Plugin: 1.2.5以降
• ベンダーが提供する修正プログラムや緩和策を迅速に適用することが重要です。特にCISA KEVに登録されているため、早急な対応が求められます。

4.2 暫定回避策（緩和策）

この脆弱性に対する一時的な回避策は、パッチの適用以外には限定的です。サンドボックスバイパスという性質上、根本的な解決は修正プログラムの適用が最も効果的です。

• Jenkinsマスターへのアクセス権限を厳格化し、パイプラインスクリプトやJenkinsfileの内容を制御できるユーザーを最小限に抑えることで、攻撃対象領域を減らすことができます。
• Jenkinsマスター上での不審なアクティビティ（予期せぬプロセス、ネットワーク接続など）を監視し、早期検知に努める。

参照したサイト

• Red Hat Customer Portal
• Vulners.com
• GitHub Security Advisory
• Feedly
• H2 Security
• CVE Explorer by Peter Bassill
• Kitploit
• Jenkins Security Advisory 2019-03-06
• GitHub - overgrowncarrot1/CVE-2019-1003030
• F5 - Vulnerabilities, Exploits, and Malware Driving Attack Campaigns in December 2019
• Hacking Jenkins Part 1 - Play with Dynamic Routing - Orange Tsai
• CISA Known Exploited Vulnerabilities Catalog
• A Case Study on Jenkins RCE - Medium
• SecPod - Critical Jenkins Vulnerability can Cause Memory Corruption and Disclose Sensitive Information
• Playing with Jenkins RCE Vulnerability | 0xdf hacks stuff - GitLab
• Jenkins RCE PoC or simple pre-auth remote code execution on the Server. - Medium
• Hacking Jenkins Part 1 - Play with Dynamic Routing (EN) | DEVCORE 戴夫寇爾