- Aktif istismar
CVE-2019-1003029
Jenkins Script Security eklentisinde sandbox atlatma ve kod çalıştırma açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2790 gün
- Kaydı açan
- jenkins
Yönetici özeti
Yazılım derleme ve dağıtım altyapınızda kullanılan Jenkins sunucusu, düşük yetkili bir kullanıcı tarafından tamamen ele geçirilebilir. Açığın aktif olarak istismar edildiği bilinmektedir, bu nedenle güncelleme acilen yapılmalıdır. Ele geçirilmesi halinde kaynak kodu, parolalar ve üretim ortamına erişim risk altına girer.
ÖzetTürkçe
Jenkins Script Security eklentisinin 1.53 ve önceki sürümlerinde, Groovy sandbox bileşenlerinde (GroovySandbox.java ve SecureGroovyScript.java) bir sandbox atlatma açığı bulunmaktadır. Yalnızca Overall/Read yetkisine sahip kimliği doğrulanmış bir saldırgan bu açığı kullanabilir. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer almaktadır ve aktif olarak istismar edilmektedir. Eklentiyi kullanan tüm Jenkins sunucuları etkilenir.
Saldırgan ne yapabilir?
Saldırgan, sandbox korumasını aşarak Jenkins master JVM üzerinde keyfi kod çalıştırabilir. Bu durum sunucunun, depolanan kimlik bilgilerinin ve derleme süreçlerinin tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
A sandbox bypass vulnerability exists in Jenkins Script Security Plugin 1.53 and earlier in src/main/java/org/jenkinsci/plugins/scriptsecurity/sandbox/groovy/GroovySandbox.java, src/main/java/org/jenkinsci/plugins/scriptsecurity/sandbox/groovy/SecureGroovyScript.java that allows attackers with Overall/Read permission to execute arbitrary code on the Jenkins master JVM.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Jenkins Script Security eklentisini, satıcının yayımladığı ve 1.53'ten sonraki düzeltilmiş sürüme güncelleyin. Genel öneri
- Satıcı talimatlarına uygun şekilde güncellemeleri uygulayın (CISA KEV gerekliliği). CISA
- Güncelleme yapılana kadar Jenkins'e erişimi güvenilir ağlarla sınırlayın ve Overall/Read yetkisi verilen hesapları gözden geçirerek gereksiz olanları kaldırın. Genel öneri
- Güncelleme sonrasında Jenkins üzerinde şüpheli betik çalıştırma, yeni oluşturulmuş iş veya kullanıcı ve beklenmeyen değişiklikler için kayıtları inceleyin. Genel öneri
Ek önlemler
- Jenkins üzerinde tutulan parola, API anahtarı ve diğer kimlik bilgilerini, sistemin ele geçirilmiş olabileceği ihtimaline karşı yenileyin. Genel öneri
- Yetkileri en az ayrıcalık ilkesine göre verin; anonim veya geniş kapsamlı okuma erişimini kapatın. Genel öneri
- Jenkins çekirdeğini ve eklentilerini düzenli olarak güncelleyin ve güvenlik duyurularını takip edin. Genel öneri
- Jenkins sunucusunu internete doğrudan açmayın; VPN veya ters vekil sunucu arkasında çalıştırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Jenkins project Jenkins Script Security Plugin | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.