Jenkins Script Security Plugin の脆弱性（CVE-2019-1003029）

何が起きた

Jenkins（ソフト開発の自動化に使うサーバー）の Script Security Plugin に、スクリプトを安全に動かすための囲い（サンドボックス）をすり抜けられる弱点が見つかりました。細工した Groovy のスクリプトを使うと、Jenkins のマスターの上で任意の（攻撃者が好きに選べる）コードを実行できます。CISA は、この弱点が実際の攻撃に悪用されたことを確認しています。NVD によると、Overall/Read の権限を持つ攻撃者が、ネットワーク経由で悪用でき、被害者の操作は必要ありません。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Jenkins で Script Security Plugin の 1.53 以前を使っている組織が影響を受けます。

何をすればいい

Script Security Plugin が 1.54 以降に更新されているか確認してください。Jenkins プロジェクトの公式の案内を確認し、同じ勧告で更新が求められているほかのプラグインもあわせて確認してください。

やることチェックリスト

• Script Security Plugin を 1.54 以降にする
• 勧告にあるほかのプラグインも更新する
• Script Security Plugin の版番号を調べる

用語メモ

サンドボックス

プログラムを、できることを制限した囲いの中で動かし、外へ悪影響が出ないようにする仕組みです。

Groovy

Jenkins の設定や処理を書くのによく使われるプログラミング言語です。

プラグイン

ソフトに後から機能を追加するための部品です。