pl4tyz/cve-2025-53652-jenkins-git-parameter-analysisCVE-2025-53652: Analisi di Git Parameter di Jenkins
Questa vulnerabilità nasce perché l'input controllato dall'utente nei parametri di build di Jenkins viene iniettato in modo non sicuro nel comando Git checkout.
L'input dell'utente viene fornito come parametro di build (ad es., gitParameters), che può contenere comandi shell dannosi.
Questo parametro viene incapsulato in un GitParameterValue (che estende StringParameterValue), il cui metodo buildEnvironment() lo espone come variabile d'ambiente nel contesto di build senza sanificazione.
Durante il processo di checkout SCM, Jenkins carica le variabili d'ambiente di build tramite build.getEnvironment().
Il nome del branch utilizzato per il checkout (localBranchName) viene ottenuto da queste variabili d'ambiente.
Il nome del branch viene quindi passato direttamente al metodo CheckoutCommand.branch().
Infine, CheckoutCommand.execute() invoca il comando Git CLI sottostante, che concatena il nome del branch senza validazione o escaping.
Ciò consente l'iniezione di comandi, permettendo a un attaccante di eseguire comandi shell arbitrari sull'host di build di Jenkins.
Il metodo createValue che gestisce l'input dell'utente (ad es., dal payload JSON HTTP POST). È qui che Jenkins accetta i valori dei parametri forniti dall'utente tramite la richiesta (ad esempio, "selected": "master; rm -rf /").
L'input viene incapsulato in un GitParameterValue, che estende StringParameterValue, senza sanificazione o validazione dell'input.
Ciò significa che i dati grezzi dell'utente vengono accettati come parametro di build e memorizzati come istanza di ParameterValue.
La classe GitParameterValue che estende StringParameterValue: GitParameterValue eredita da StringParameterValue ma non aggiunge alcuna sanificazione.
La catena di costruttori fa sì che l'input dell'utente venga ora memorizzato in un oggetto che verrà successivamente utilizzato da Jenkins per costruire le variabili d'ambiente.
Questo propaga input dannosi nelle variabili d'ambiente di build di Jenkins.
"
La classe StringParameterValue e il suo metodo buildEnvironment: questo metodo è cruciale — espone il parametro come variabili d'ambiente nel contesto di build eseguendo
"
env.put(name, value);
env.put(name.toUpperCase(Locale.ENGLISH), value);
Poiché il valore è un input utente non sanificato, consente a input dannosi di entrare nelle variabili d'ambiente di Jenkins, rendendoli accessibili a processi successivi come i comandi Git.
Il metodo _checkout nel plugin GitSCM: questo metodo chiama build.getEnvironment(listener), che raccoglie le variabili d'ambiente, inclusa quella dannosa impostata in precedenza.
Utilizza queste variabili per ottenere il nome del branch (tramite localBranchName), che viene poi passato al CheckoutCommand.
La variabile d'ambiente del parametro dannoso fluisce direttamente nel processo di checkout.
La creazione del CheckoutCommand e l'impostazione del branch/ref con l'input dell'utente: CheckoutCommand.branch(localBranchName) utilizza la variabile d'ambiente non sanificata.
Poiché localBranchName proviene da variabili d'ambiente controllate dall'utente, inietta comandi arbitrari nel checkout. Questo prepara il terreno per l'iniezione di comandi quando viene chiamato execute().
Il metodo che esegue il comando Git CLI: questo è il passaggio finale in cui la stringa del branch iniettata viene passata direttamente alla Git CLI di sistema senza escaping o sanificazione. Di conseguenza, il payload dannoso viene eseguito come comandi shell, consentendo l'esecuzione remota di codice sull'host Jenkins.
Questa analisi rivela come il plugin Jenkins Git Parameter, combinato con il plugin Git SCM, possa portare a una vulnerabilità critica di iniezione di comandi. Esponendo in modo non sicuro i valori dei parametri controllati dall'utente come variabili d'ambiente e passandoli successivamente direttamente ai comandi Git CLI senza una corretta sanificazione, gli attaccanti possono eseguire comandi arbitrari sul server di build Jenkins.
Questa rottura della catena di fiducia — dal payload JSON dannoso iniziale fino all'esecuzione finale nella shell — evidenzia l'importanza di una rigorosa validazione degli input e di una gestione sicura dei parametri di build nei sistemi di integrazione continua.
Utenti e amministratori dovrebbero assicurarsi di eseguire versioni aggiornate di Jenkins e di tutti i plugin, e verificare attentamente qualsiasi parametro che influenzi i comandi shell. Mitigazioni come la sanificazione degli input, la whitelist dei branch consentiti o l'isolamento degli ambienti di build possono ridurre il rischio.
Comprendere questo flusso fornisce a professionisti della sicurezza e sviluppatori le conoscenze necessarie per rilevare, prevenire e correggere vulnerabilità di iniezione simili in Jenkins o in piattaforme CI/CD comparabili.
CheckoutCommand.execute()