Jenkins log4j漏洞测试来自管道作业

Question

我正在努力确保我的Jenkins实例不会被最新的log4j漏洞利用。

我有一个正在运行的管道脚本，我尝试按照以下说明进行操作：

https://community.jenkins.io/t/apache-log4j-2-vulnerability-cve-2021-44228/990

这是我的管道脚本的一个阶段：

stage('Building image aaa') {
steps{
script {
sh "echo executing"
org.apache.logging.log4j.core.lookup.JndiLookup.class.protectionDomain.codeSource
sh "docker build --build-arg SCRIPT_ENVIRONMENT=staging -t $IMAGE_REPO_NAME:$IMAGE_TAG ."
}
}
}

但我得到了一个与这里描述的不同的错误，我不确定我是否检查正确。这就是错误：

groovy.lang.MissingPropertyException: No such property: org for class: groovy.lang.Binding
at groovy.lang.Binding.getVariable(Binding.java:63)
at org.jenkinsci.plugins.scriptsecurity.sandbox.groovy.SandboxInterceptor.onGetProperty(SandboxInterceptor.java:271)
at org.kohsuke.groovy.sandbox.impl.Checker$7.call(Checker.java:353)
at org.kohsuke.groovy.sandbox.impl.Checker.checkedGetProperty(Checker.java:357)
at org.kohsuke.groovy.sandbox.impl.Checker.checkedGetProperty(Checker.java:333)
at org.kohsuke.groovy.sandbox.impl.Checker.checkedGetProperty(Checker.java:333)
at org.kohsuke.groovy.sandbox.impl.Checker.checkedGetProperty(Checker.java:333)
at com.cloudbees.groovy.cps.sandbox.SandboxInvoker.getProperty(SandboxInvoker.java:29)
at com.cloudbees.groovy.cps.impl.PropertyAccessBlock.rawGet(PropertyAccessBlock.java:20)
at WorkflowScript.run(WorkflowScript:31)
at ___cps.transform___(Native Method)
at com.cloudbees.groovy.cps.impl.PropertyishBlock$ContinuationImpl.get(PropertyishBlock.java:74)
at com.cloudbees.groovy.cps.LValueBlock$GetAdapter.receive(LValueBlock.java:30)
....etc

Answer 1

这可能是检查Jenkins是否存在log4j漏洞的最简单方法(通过插件或其他方式(。

1. 转到https://your-jenkins.domain/script
2. 粘贴org.apache.logging.log4j.core.lookup.JndiLookup.class.protectionDomain.codeSource

如果输出是groovy.lang.MissingPropertyException: No such property: org for class: Script1，那么你就很好，否则你就不好。

这样，您就不必像另一个答案中提到的那样更改管道进行测试或通过审批流程，只需粘贴和验证即可，无需额外配置。

Answer 2

我不认为类名会被直接解释为声明性管道中的groovy codeSource参数(而不是脚本化管道(

尝试"；如何在Jenkins管道中导入类文件&"；，带有：

node{
def cl = load 'Classes.groovy'
def a = cl.getProperty("org.apache.logging.log4j.core.lookup.JndiLookup").protectionDomain.codeSource
...
}

请注意，默认情况下getCLassLoader()是不允许的，并且应该需要Jenkins管理员的进程中脚本批准。