Kompromittiertes Checkmarx Jenkins Plugin im Umlauf
Checkmarx hat eine kritische Sicherheitsverletzung gemeldet: Eine bösartig manipulierte Version des Jenkins Application Security Testing (AST)-Plugins wurde über den Jenkins Marketplace verteilt. Die gefälschte Erweiterung kam mit einem Infostealer, der potenziell sensible Daten wie Anmeldedaten und API-Tokens abgreifen konnte.
Was passierte?
Die kompromittierte Version wurde auf dem offiziellen Jenkins Marketplace verfügbar gemacht und hätte von ahnungslosen Nutzern heruntergeladen werden können. Das Plugin war mit Malware-Code ausgestattet, die darauf ausgelegt war, Authentifizierungsinformationen zu sammeln und auszulesen. Dies ist besonders problematisch, da Jenkins-Plugins oft in CI/CD-Pipelines eingebunden sind und Zugriff auf kritische Systeme haben.
Auswirkungen
Für Organisationen, die dieses Plugin installiert haben, entstanden potenzielle Risiken:
- Datendiebstahl: Abgreifen von Credentials und API-Keys
- Lateral Movement: Unbefugter Zugriff auf verbundene Systeme über gestohlene Tokens
- Supply Chain: Kontamination der Build-Pipeline, was zu kompromittierten Releases führen kann
Dies ist ein klassisches Supply Chain Attack-Szenario, bei dem eine beliebte Entwickler-Komponente als Angriffsvektor missbraucht wird.
Empfehlung für Admins
Sofortmaßnahmen:
- Jenkins-Instanzen überprüfen und Plugins aktualisieren
- Aktivität des betroffenen Plugins in den Logs analysieren
- Alle Credentials und API-Tokens invalidieren und neu ausstellen
- Netzwerk-Traffic von Jenkins-Systemen auf verdächtige Verbindungen überwachen
Checkmarx hat inzwischen die bösartige Version vom Marketplace entfernt und eine korrigierte Version bereitgestellt. Security-Teams sollten ihre Jenkins-Umgebungen prioritär prüfen und sicherstellen, dass nur legitime Versionen installiert sind.
Dieser Vorfall zeigt erneut, wie wichtig es ist, das Plugin-Ökosystem aktiv zu überwachen und schnell auf Sicherheitswarnungen zu reagieren.