Jenkins Jenkins のリモートコード実行の脆弱性（CVE-2017-1000353）

何が起きた

開発の自動化ツール Jenkins の、remoting という方式の CLI（コマンドで操作する窓口）に、送られてきたデータを元に戻す処理（デシリアライズ）の弱点が見つかり、実際の悪用が確認されています。ネットワーク経由で、ログインしていない攻撃者が悪用できます。攻撃者は細工した SignedObject というデータを送ることで、既存の防御（危険なデータの一覧による禁止）をすり抜け、任意のプログラムを動かせるおそれがあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Jenkins の 2.56 以前（通常版）と、2.46.1 以前の LTS（長期サポート版）を使っている組織が対象です。

何をすればいい

Jenkins の公式の案内を確認し、通常版は 2.57 以降、LTS は 2.46.2 以降に更新してください。Jenkins は、更新するときに remoting 方式の CLI を無効にし、HTTP 方式か SSH 方式の CLI を使うよう強く勧めています。

やることチェックリスト

• 通常版を 2.57 以降に更新する
• LTS を 2.46.2 以降に更新する
• remoting 方式の CLI を無効にする

用語メモ

CLI

画面のボタンではなく、文字の命令（コマンド）で操作するための窓口です。

デシリアライズ

保存や送信のために変換されたデータを、プログラムの中で使える形に戻す処理です。

LTS

長期サポート版のことです。新機能より安定性を重視し、長く修正が提供される版です。