CVE-2021-21696

Versões 2.318 e anteriores do Jenkins; versões LTS 2.303.2 e anteriores

O problema está relacionado à implementação da API FilePath no servidor de automação do Jenkins, que não limita o acesso de leitura/gravação dos agentes ao diretório libs/ dentro dos diretórios de compilação. Isso permite que invasores que controlam os processos do agente substituam o código de uma biblioteca confiável por uma variante modificada, resultando na execução de código fora da sandbox no processo do controlador do Jenkins. O diretório libs/ é usado pelo plugin Pipeline: Shared Groovy Libraries para armazenar cópias de bibliotecas compartilhadas.

Para as versões 2.318 e anteriores do Jenkins, e as versões LTS 2.303.2 e anteriores, atualize para o Jenkins 2.319 e LTS 2.303.3 para proibir o acesso de leitura/gravação do agente ao diretório libs/ dentro dos diretórios de compilação.

Como solução alternativa temporária, considere instalar o plugin Remoting Security Workaround, que impedirá todo o acesso a arquivos do agente para o controlador usando APIs FilePath. No entanto, observe que esse plugin é mais restritivo e pode causar incompatibilidade com outros plugins.

Restrinja o acesso ao diretório libs/ para minimizar o risco de exploração.