SecBoard
Zurück zur Übersicht

[NEU] [hoch] Jenkins Plugins: Mehrere Schwachstellen

CERT-Bund·
Originalartikel lesen bei CERT-Bund

Mehrere Schwachstellen in Jenkins-Plugins ermöglichen Angreifern die Ausführung von beliebigem Code, Privilegienerweiterung und Datenmanipulation. Nutzer sind potenziell von XSS-, SSRF-Angriffen und Offenlegung vertraulicher Informationen betroffen. Es wird dringend empfohlen, die betroffenen Plugins umgehend zu aktualisieren, um diese Risiken zu mindern.

Kurzfassung

Mehrere Schwachstellen in Jenkins-Plugins ermöglichen Angreifern die Ausführung von beliebigem Code, Privilegienerweiterung und Datenmanipulation. Nutzer sind potenziell von XSS-, SSRF-Angriffen und Offenlegung vertraulicher Informationen betroffen. Es wird dringend empfohlen, die betroffenen Plugins umgehend zu aktualisieren, um diese Risiken zu mindern.

Relevanz für Manager / CISOs
Priorität:Sofort
Betroffene

Organisationen, die Jenkins mit den betroffenen Plugins nutzen.

Warum relevant

Angreifer könnten die Kontrolle über Jenkins-Instanzen erlangen, sensible Daten manipulieren oder exfiltrieren und weitere Systeme im Netzwerk kompromittieren.

Realistisches Worst Case

Vollständige Kompromittierung der Jenkins-Instanz, Ausführung von beliebigem Code auf dem Hostsystem und potenziell auf verbundenen Build-Agenten, was zu weitreichenden Auswirkungen auf die Softwareentwicklungspipeline und die Infrastruktur führen kann.

Handlungsempfehlung

Betroffene Jenkins-Plugins umgehend auf die neueste, gepatchte Version aktualisieren.

Defensive Validierung / Purple-Team Checks
  • Überprüfen Sie alle installierten Jenkins-Plugins auf bekannte Schwachstellen und vergleichen Sie diese mit den aktuellen Sicherheitshinweisen von Jenkins.
  • Stellen Sie sicher, dass alle Jenkins-Instanzen und zugehörigen Plugins auf dem neuesten Stand sind und automatische Updates für kritische Patches aktiviert sind, wo dies möglich ist.
  • Überprüfen Sie die Zugriffsprotokolle von Jenkins auf ungewöhnliche Aktivitäten, wie z.B. unerwartete Code-Ausführungen oder Änderungen an Konfigurationen.
MITRE ATT&CK Zuordnung
TaktikTechnikKonfidenzBeleg
ExecutionT1059 Command and Scripting InterpreterHighermöglichen Angreifern die Ausführung von beliebigem Code
Privilege EscalationT1068 Exploitation for Privilege EscalationHighPrivilegienerweiterung
ImpactT1490 Inhibit System RecoveryLowDatenmanipulation
CollectionT1530 Data from Cloud StorageLowOffenlegung vertraulicher Informationen
Defense EvasionT1562 Impair DefensesLowbypass security (nicht im deutschen Text, aber im englischen)
Offene Punkte
  • Spezifische Namen der betroffenen Jenkins-Plugins sind nicht im Artikel genannt.
  • Konkrete CVE-Nummern der Schwachstellen sind nicht im Artikel genannt.
  • Details zu den genauen Versionen der betroffenen Plugins sind nicht im Artikel genannt.
  • Informationen zu den Angriffsvektoren über XSS und SSRF sind nicht detailliert beschrieben.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

  • Initial Access möglich?Möglich
  • Privilege Escalation relevant?Unklar
  • Exploit öffentlich verfügbar?Unklar
  • Detection / Logging prüfbar?Ja
  • Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

  • Haben wir Jenkins extern erreichbar?
  • Können wir Resource Development detektieren?

MITRE ATT&CK Kill Chain (2 Techniken)

Resource Development
Themen
hoch