Jenkinsに高深刻度の脆弱性13件、遠隔でコード実行の恐れも…CI/CD基盤は大丈夫か

　Jenkinsプロジェクトは10月28日、ソフトウェアの開発・運用を自動化するCI/CDツール「Jenkins」本体（core）の脆弱性15件を修正した、とするセキュリティアドバイザリーを公表した。

　深刻度（CVSS）は高（High）が13件、中（Medium）が2件。影響を受けるのは、weekly（週次）版の2.587以前と、長期サポート版（LTS）の2.580.1以前としている。修正版としてweekly版の2.588とLTSの2.580.2が公開された。

　中でも注目されるのが、設定やビルドのデータの保存・読み込みに使われるXStreamに関する問題だ。「SECURITY-4125」は、XStreamの変換処理が「resolves-to」属性で参照されるクラスに逆シリアル化フィルターを適用していなかったことが原因という。攻撃者が任意の型のオブジェクトを生成でき、リモートコード実行（RCE）につながる恐れがあると説明している。

　修正版では、この属性の参照先にもフィルターを適用した。さらにXStreamの型許可の仕組みも新たに使い、逆シリアル化できる型を制限する。

　XStreamでは、コレクション要素の型チェックを回避できる問題（SECURITY-4225）と、ルート要素の制限を回避できる問題（SECURITY-4243）も修正された。

　そのほか、エージェントの起動コマンドに対する管理者の承認を回避できる問題（SECURITY-4123）、リンクの追跡によって任意のファイルを読み取れる問題（SECURITY-4187）、エージェント名のパストラバーサル（SECURITY-4188）、成果物の展開時の競合状態により任意のファイルを作成できる問題（SECURITY-4248）が含まれる。セットアップウィザードの競合状態により、認証されていない攻撃者が管理者アカウントを作成できる問題（SECURITY-4122）も対象だ。

　クロスサイトスクリプティング（XSS）は、ワークスペースブラウザ、エージェントのエラー表示、パンくずバーのオーバーフローメニューの3カ所で見つかった。ほかにセッションの有効期限に関する不備（SECURITY-4189）などがある。

　報告者としては、アンソロピックのOSSプログラムのほか、tracenull、Opr4らが名を連ねている。