CVE-2019-1003030

Analyse en français

Cette vulnérabilité est un contournement de la sandbox dans le plugin Jenkins Pipeline: Groovy Plugin jusqu'à la version 2.63 incluse. Elle concerne Jenkins et Red Hat OpenShift Container Platform. Un attaquant capable de contrôler des scripts de pipeline peut exécuter du code arbitraire sur la JVM du maître Jenkins.

Impact

Un attaquant authentifié avec un faible niveau de privilèges et sans interaction utilisateur peut compromettre entièrement le serveur Jenkins (confidentialité, intégrité et disponibilité élevées). La vulnérabilité est activement exploitée selon la CISA.

Que faire ?

Appliquer les mises à jour selon les instructions du fournisseur (action CISA) et mettre à jour le plugin Jenkins Pipeline: Groovy Plugin vers une version supérieure à 2.63. Restreindre les droits de création ou de modification des scripts de pipeline et surveiller les exécutions de code sur le master Jenkins.

Analyse générée par IA le 11/11/2026 : vérifiez l'avis officiel de l'éditeur.

Exploitation active confirmée

Ajoutée au catalogue CISA KEV le 25/03/2022, correctif exigé avant le 15/04/2022 pour les agences fédérales américaines.

Action requise : Apply updates per vendor instructions.

Description officielle (NVD)

A sandbox bypass vulnerability exists in Jenkins Pipeline: Groovy Plugin 2.63 and earlier in pom.xml, src/main/java/org/jenkinsci/plugins/workflow/cps/CpsGroovyShell.java that allows attackers able to control pipeline scripts to execute arbitrary code on the Jenkins master JVM.

Preuves de concept publiques (2)

Dépôts tiers non vérifiés, parfois piégés. Ne les exécutez jamais en production : uniquement dans un environnement de test isolé.

• overgrowncarrot1/CVE-2019-1003030 · ★ 1 · 01/03/2025
• cyberbelly/PoC-CVE-2019-1003030 · ★ 0 · 11/07/2026
  PoC for jenkins 2.63 CVE-2019-1003030

Références

• http://packetstormsecurity.com/files/159603/Jenkins-2.63-Sandbox-Bypass.html , Exploit, Third Party Advisory, VDB Entry
• http://www.securityfocus.com/bid/107476 , Broken Link, Third Party Advisory, VDB Entry
• https://access.redhat.com/errata/RHSA-2019:0739 , Third Party Advisory
• https://jenkins.io/security/advisory/2019-03-06/#SECURITY-1336%20%282%29 , Third Party Advisory
• http://packetstormsecurity.com/files/159603/Jenkins-2.63-Sandbox-Bypass.html , Exploit, Third Party Advisory, VDB Entry
• http://www.securityfocus.com/bid/107476 , Broken Link, Third Party Advisory, VDB Entry
• https://access.redhat.com/errata/RHSA-2019:0739 , Third Party Advisory
• https://jenkins.io/security/advisory/2019-03-06/#SECURITY-1336%20%282%29 , Third Party Advisory
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-1003030 , US Government Resource

En bref

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Produits concernés

Sources officielles

Besoin d'aide ?

Nos experts évaluent votre exposition et vous accompagnent dans la correction.