В Jenkins обнаружена критическая уязвимость в механизме десериализации данных, которая позволяет злоумышленнику выполнить произвольный код на сервере. Это ведет к компрометации данных, а в худшем случае — к полному захвату управления CI/CD-инфраструктурой.

Атака строится на отправке специально сформированного payload, который система обрабатывает при десериализации. Уязвимость затрагивает компоненты, отвечающие за обработку входящих запросов, что делает возможным удаленное выполнение кода без аутентификации.

Проблема усугубляется тем, что Jenkins часто используется как центральный узел в пайплайнах разработки, и через него можно получить доступ к репозиториям, секретам и артефактам сборки. В статье разбирается пример эксплуатации с разбором кода, показывающим, как именно происходит внедрение и выполнение команд.

Предыстория вопроса: подобные дыры в десериализации уже не раз находили в Java-приложениях, но Jenkins долго оставался в стороне. Судя по всему, патч для этой уязвимости выйдет только в следующем релизе, так что до обновления серверы остаются под угрозой.

Последствия очевидны: если не закрыть дыру, любой публично доступный Jenkins-сервер можно использовать как точку входа в корпоративную сеть. Рекомендуется временно ограничить доступ к административным интерфейсам и следить за обновлениями.