🇰🇷 한글 설명
Jenkins 1.491 이전 버전들의 XSS 취약점으로, 쓰기 권한이 있는 인증된 사용자가 임의의 웹 스크립트나 HTML을 주입할 수 있습니다. 이는 Jenkins 관리자나 프로젝트 설정 권한이 있는 사용자로부터의 내부 위협에 해당합니다.
💡 쉬운 설명
Jenkins 설정 화면에서 악의적인 코드를 입력해 다른 사용자의 브라우저에서 실행되도록 할 수 있는 취약점입니다. 이미 접근 권한이 있는 사람만 공격할 수 있어 위험도는 낮습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in Jenkins before 1.491, Jenkins LTS before 1.480.1, and Jenkins Enterprise 1.424.x before 1.424.6.13, 1.447.x before 1.447.4.1, and 1.466.x before 1.466.10.1 allows remote authenticated users with write access to inject arbitrary web script or HTML via unspecified vectors.
📍 영향받는 시스템
Jenkins <1.491, Jenkins LTS <1.480.1, Jenkins Enterprise 1.424.x <1.424.6.13, 1.447.x <1.447.4.1, 1.466.x <1.466.10.1
⚔️ 공격 벡터
쓰기 권한을 가진 인증된 사용자가 Jenkins 설정 페이지의 입력 필드에 XSS 페이로드를 주입
🛡️ 대응 방법
Jenkins를 최신 패치 버전으로 업그레이드하거나 설정 페이지 접근 권한을 제한
🔧 검증 코드
출력된 jenkins 패키지의 버전 번호가 위의 영향받는 버전 범위에 해당하면 취약하며, 최신 버전이면 패치됨
dpkg -l 2>/dev/null | grep -E 'jenkins' || rpm -qa 2>/dev/null | grep -E 'jenkins'