CVE-2019-1003000

HochVeröffentlicht

Im Script Security Plugin 1.49 und früheren Versionen existiert eine Sandbox-Bypass-Schwachstelle in...

Veröffentlicht: 22.01.2019
Aktualisiert: 05.08.2024
CNA zuweisen: jenkins
Beweise beobachtet: 19.02.2019

Primäres CVSS

8,8/ 10Hoch

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

EPSS-Wahrscheinlichkeitsschätzung

98,4 %

Hoch · nächste 30 Tage

Perzentil: 99,9 %
Modelldatum: 21.09.2026

EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.

Zusammenfassung

Im Script Security Plugin 1.49 und früheren Versionen existiert eine Sandbox-Bypass-Schwachstelle in src/main/java/org/jenkinsci/plugins/scriptsecurity/sandbox/groovy/GroovySandbox.java, die es Angreifern mit der Fähigkeit, Sandbox-Skripte bereitzustellen, ermöglicht, beliebigen Code auf der Jenkins-Master-JVM auszuführen.

Quellen

CVE-2019-1003000_RCE-DETECTIONErkennung
Ein C#-Modul zur Erkennung, ob ein Jenkins-Server anfällig für die RCE-Sicherheitslücke in CVE-2019-1003000 ist (kombiniert mit CVE-2018-1000861 für pre-auth RCE)
cve-2019-1003000-jenkins-rce-pocPoC
Jenkins RCE Proof-of-Concept: SECURITY-1266 / CVE-2019-1003000 (Script Security), CVE-2019-1003001 (Pipeline: Groovy), CVE-2019-1003002 (Pipeline: Declarative)
CVE-2019-1003000-and-CVE-2018-1999002-Pre-Auth-RCE-JenkinsExploit

Verantwortungsvoller Umgang

Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.