- Aktif istismar
- CWE-693
CVE-2019-1003030
Jenkins Pipeline: Groovy Eklentisinde sandbox atlatma ile kod çalıştırma
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2790 gün
- Kaydı açan
- jenkins
Yönetici özeti
Yazılım derleme ve dağıtım süreçlerinde kullanılan Jenkins sunucusu, bu açık nedeniyle tamamen ele geçirilebilir. Açığın gerçek saldırılarda kullanıldığı bilindiği için güncelleme acil olarak yapılmalıdır. Ele geçirilen bir sunucu, kaynak kodun ve dağıtım altyapısındaki gizli bilgilerin çalınmasına yol açabilir.
ÖzetTürkçe
Jenkins Pipeline: Groovy Plugin 2.63 ve önceki sürümlerinde, CpsGroovyShell.java dosyasında bir sandbox (kum havuzu) atlatma açığı bulunmaktadır. Pipeline betiklerini kontrol edebilen bir saldırgan, bu açığı kullanarak Jenkins ana sunucusunun (master) JVM'i üzerinde rastgele kod çalıştırabilir. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer almaktadır; yani gerçek saldırılarda kullanılmıştır. Etkilenenler, bu eklentinin etkilenen sürümlerini kullanan Jenkins kurulumlarıdır.
Saldırgan ne yapabilir?
Düşük yetkili bir saldırgan, Jenkins ana sunucusunda uzaktan kod çalıştırarak sistemi tamamen ele geçirebilir. Bu durum gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki yaratır.
Kaynaktaki açıklama (İngilizce)
A sandbox bypass vulnerability exists in Jenkins Pipeline: Groovy Plugin 2.63 and earlier in pom.xml, src/main/java/org/jenkinsci/plugins/workflow/cps/CpsGroovyShell.java that allows attackers able to control pipeline scripts to execute arbitrary code on the Jenkins master JVM.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Jenkins Pipeline: Groovy Plugin eklentisini, Jenkins'in güvenlik duyurusunda belirtilen düzeltilmiş sürüme (2.63'ten sonraki sürüm) güncelleyin. Genel öneri
- Üretici talimatlarına uygun şekilde güncellemeleri uygulayın. CISA
- Güncelleme yapılana kadar pipeline betiği oluşturma ve düzenleme yetkisini yalnızca güvenilir kullanıcılarla sınırlandırın. Genel öneri
- Güncelleme sonrasında Jenkins ana sunucusunda şüpheli pipeline işleri, beklenmeyen süreçler ve yetkisiz değişiklikler olup olmadığını kontrol edin. Genel öneri
Ek önlemler
- Jenkins çekirdeğini ve tüm eklentileri düzenli olarak güncelleyin; güvenlik duyurularını takip edin. Genel öneri
- Kullanıcılara en az yetki ilkesine göre izin verin ve işlerin ana sunucuda değil, ayrı ajanlarda çalışmasını sağlayın. Genel öneri
- Jenkins arayüzünü internete doğrudan açmayın; erişimi VPN veya IP kısıtlamasıyla sınırlayın. Genel öneri
- Jenkins'te saklanan kimlik bilgilerini ve anahtarları, olası bir ihlal şüphesinde yenileyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Jenkins project Jenkins Pipeline: Groovy Plugin | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.