KnowSafe 安全预警：Script Security Plugin 远程代码执行漏洞

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2019-1003000 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

Script Security Plugin 2.49及更早版本的src / main / java / org / jenkinsci / plugins / scriptsecurity / sandbox / groovy / GroovySandbox.java中存在一个沙盒绕过漏洞，它允许攻击者能够提供沙盒脚本来执行任意代码。 Jenkins掌握了JVM。<br>

影响范围

应用：jenkins script_security（影响面 Up to (including) 1.49）

应用：redhat openshift_container_platform（版本 3.11）

解决方案

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://jenkins.io/security/advisory/2019-01-08/#SECURITY-1266

参考信息

http://packetstormsecurity.com/files/152132/Jenkins-ACL-Bypass-Metaprogramming-Remote-Code-Execution.html

http://www.rapid7.com/db/modules/exploit/multi/http/jenkins_metaprogramming

https://access.redhat.com/errata/RHBA-2019:0326

https://access.redhat.com/errata/RHBA-2019:0327

https://jenkins.io/security/advisory/2019-01-08/#SECURITY-1266

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。