Jenkins Matrix Project Plugin のリモートコード実行の脆弱性（CVE-2019-1003030）

何が起きた

Jenkins のプラグインに、スクリプトを安全な囲い（サンドボックス）の中で動かす守りを、すり抜けられる弱点が見つかり、実際に悪用が確認されています。パイプラインのスクリプトを書き換えられる攻撃者が、Jenkins のマスターの上で任意の（攻撃者が選んだ）プログラムを動かせるおそれがあります。NVD の評価では、攻撃者はネットワーク経由で攻撃できますが、一般の利用者程度の権限が必要で、利用者の操作は必要ありません。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

CISA の一覧では製品名が Matrix Project Plugin となっていますが、CVE の記録と Jenkins の勧告では、この番号の弱点は Pipeline: Groovy Plugin の 2.63 以前にあるとされています。Jenkins でこのプラグインを使っている組織が対象です。

何をすればいい

Jenkins の勧告に従い、Pipeline: Groovy Plugin を 2.64 以降に更新されているか確認してください。同じ勧告では、Matrix Project Plugin にも同じ種類のサンドボックスのすり抜け（CVE-2019-1003031）があり、1.14 への更新が案内されています。あわせて、Jenkins の公式の案内を確認してください。

やることチェックリスト

• Pipeline: Groovy Plugin を 2.64 以降に更新する
• Matrix Project Plugin を 1.14 以降に更新する
• プラグインのバージョンを管理画面で確認する

用語メモ

サンドボックス

プログラムを決められた囲いの中だけで動かし、危ない操作をさせないための守りの仕組みです。

パイプライン

Jenkins で、ソフトの組み立てやテストなどの作業の流れをスクリプトで書いたものです。

Jenkins

ソフトの組み立てやテストを自動で行うためのツールです。