🇰🇷 한글 설명
Jenkins 1.454 이전 버전에서 발견된 크로스사이트 스크립팅(XSS) 취약점으로, 원격 공격자가 명시되지 않은 벡터를 통해 웹 스크립트 또는 HTML을 주입할 수 있습니다. Jenkins LTS 1.424.5 이전 및 Enterprise 버전도 영향을 받으며, CVE-2012-0324와는 다른 취약점입니다.
💡 쉬운 설명
Jenkins 웹 서버에서 악의적인 스크립트가 삽입되어 다른 사용자들에게 실행될 수 있는 문제입니다. 로그인한 관리자나 사용자가 피싱 링크를 클릭하면 계정이 탈취될 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in Jenkins before 1.454, Jenkins LTS before 1.424.5, and Jenkins Enterprise 1.400.x before 1.400.0.13 and 1.424.x before 1.424.5.1 allows remote attackers to inject arbitrary web script or HTML via unspecified vectors, a different vulnerability than CVE-2012-0324.
📍 영향받는 시스템
Jenkins < 1.454, Jenkins LTS < 1.424.5, Jenkins Enterprise 1.400.x < 1.400.0.13, 1.424.x < 1.424.5.1
⚔️ 공격 벡터
Jenkins UI의 미검증된 입력 필드(주로 사용자 입력, 설정, 빌드 결과 등)에 악성 스크립트 코드 삽입
🛡️ 대응 방법
Jenkins를 1.454 이상, LTS는 1.424.5 이상으로 업그레이드하고 모든 플러그인을 최신 버전으로 업데이트
🔧 검증 코드
Jenkins 버전 번호가 출력되며, 1.454 이상이면 안전, 이하면 업그레이드 필요
jenkins --version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+'