Check Point Research berichtete am 15. Februar 2018 über eine Kryptomining-Kampagne gegen Jenkins-Server. Nach den Untersuchungen führte die Kampagne zu einer Monero-Wallet mit einem Gegenwert von damals rund drei Millionen US-Dollar. Die Angreifer nutzten dabei die Rechenleistung von Systemen, die für automatisierte Software-Builds eingesetzt werden.
Als möglicher Einstiegspunkt kommt die bereits dokumentierte Jenkins-Sicherheitslücke CVE-2017-1000353 infrage. Die offizielle Warnung beschreibt eine nicht authentifizierte Ausführung von Code über eine Java-Deserialisierung. Jenkins nannte damals die Versionen 2.57 und 2.46.2 als korrigierte Stände.
Build-Systeme als lohnendes Ziel
Jenkins bündelt Builds, Tests und weitere Schritte der Auslieferung. Ein Miner auf diesem System konkurriert mit genau diesen Aufgaben um Prozessorzeit. Check Point nennt verlangsamte Systeme bis hin zu einer möglichen Dienstverweigerung als Folgen. Für Spieleentwicklung und kontinuierliche Builds betrifft das nicht nur einen einzelnen Arbeitsplatz, sondern die gemeinsame Pipeline eines Teams.
Betreiber sollten öffentlich erreichbare Jenkins-Installationen aktualisieren und den Zugriff auf Administrations- und Agent-Schnittstellen begrenzen. Zusätzlich gehören Build-Knoten, Prozesse und ungewöhnliche Lastspitzen in die Überwachung. Die ältere {base.internal(‚https://xboxdev.com/jenkins-behebt-19-sicherheitsluecken-in-version-2-44-und-2-32-2/‘, ‚Jenkins-Berichterstattung zu Sicherheitslücken‘)} zeigt, dass die Absicherung der Automatisierungsplattform bereits zuvor ein wiederkehrendes Thema war.