Script Security Plugin

Die Schwachstelle steckt im Script Security Plugin von Jenkins, einer Erweiterung, die von Benutzern eingereichte Groovy-Skripte in einer abgeschotteten Umgebung – einer sogenannten Sandbox – ausführen soll. Diese Sandbox dient als Schutzmechanismus: Sie beschränkt, welche Operationen ein Skript ausführen darf. Ein Fehler in der Verarbeitung der Groovy-Skripte erlaubt es jedoch, diese Abschottung zu umgehen. Dadurch kann ein Angreifer, der lediglich allgemeine Leseberechtigung auf dem Jenkins-System besitzt, beliebigen Code direkt in der Java-Laufzeitumgebung des Jenkins-Master-Servers ausführen. Da der Master die zentrale Steuerinstanz einer Jenkins-Installation ist, entspricht das einem vollständigen Zugriff auf das Build-System samt der dort verarbeiteten Quellcodes, Anmeldedaten und Build-Prozesse. Besonders kritisch ist die niedrige Hürde: Schon eine einfache Leseberechtigung genügt, um aus der vermeintlich sicheren Sandbox auszubrechen.