CVE-2020-2134

Plugin de segurança de scripts do Jenkins, versões 1.70 e anteriores

A proteção de sandbox no Jenkins Script Security Plugin poderia ser contornada por meio de chamadas e corpos de construtores maliciosos, bem como chamadas de método maliciosas em objetos que implementam GroovyInterceptable. Isso permite que invasores capazes de especificar e executar scripts em sandbox executem código arbitrário no contexto da JVM do controlador do Jenkins.

Para as versões 1.70 e anteriores do Jenkins Script Security Plugin, atualize para a versão 1.71 ou posterior, que inclui restrições adicionais e verificações de integridade para impedir a contornamento da proteção de sandbox. Como solução temporária, considere restringir o uso de chamadas e corpos de construtor criados propositalmente, bem como chamadas de método em objetos que implementam GroovyInterceptable, até que um patch esteja disponível.