🇰🇷 한글 설명
Jenkins Core의 stand-alone 컨테이너에서 에러 메시지 처리 불충분으로 인한 크로스사이트 스크립팅(XSS) 취약점입니다. 공격자가 에러 메시지 벡터를 통해 임의의 웹 스크립트나 HTML을 주입할 수 있으며, 이는 사용자의 브라우저에서 실행됩니다.
💡 쉬운 설명
Jenkins 웹 인터페이스의 에러 메시지 표시 부분에서 입력 검증이 부족합니다. 공격자가 특수하게 만든 요청을 보내면 다른 사용자의 브라우저에서 악성 스크립트가 실행될 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in Jenkins Core in Jenkins before 1.438, and 1.409 LTS before 1.409.3 LTS, when a stand-alone container is used, allows remote attackers to inject arbitrary web script or HTML via vectors related to error messages.
📍 영향받는 시스템
Jenkins Core 1.438 이전 버전, Jenkins 1.409 LTS 이전 1.409.3 LTS 버전 (stand-alone 컨테이너 환경)
⚔️ 공격 벡터
에러 메시지 관련 파라미터에 JavaScript 코드를 포함시켜 다른 사용자의 세션에서 실행되도록 유도
🛡️ 대응 방법
Jenkins를 1.438 이상 또는 1.409.3 LTS 이상으로 즉시 업그레이드
🔧 검증 코드
출력된 Jenkins 버전이 1.438 이상(또는 1.409.3 LTS 이상)이면 패치됨, 그 이하면 취약
java -jar jenkins.war --version 2>/dev/null | grep -oE '([0-9]+\.[0-9]+(?:\.[0-9]+)?)'