🇰🇷 한글 설명
Jenkins 1.523의 기본 마크업 포매터에 존재하는 XSS 취약점으로, 사용자 구성의 Description 필드를 통해 원격 공격자가 임의의 웹 스크립트 또는 HTML을 주입할 수 있습니다. 이로 인해 세션 탈취, 악성 코드 실행, 사용자 정보 탈취 등이 발생할 수 있습니다.
💡 쉬운 설명
Jenkins 웹사이트에서 사용자 프로필 설명란에 악의적인 코드를 입력하면, 다른 사용자들이 그 프로필을 볼 때 자동으로 코드가 실행됩니다. 이를 통해 공격자가 사용자의 정보를 훔치거나 계정을 탈취할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in the default markup formatter in Jenkins 1.523 allows remote attackers to inject arbitrary web script or HTML via the Description field in the user configuration.
📍 영향받는 시스템
Jenkins 1.523 및 이전 버전
⚔️ 공격 벡터
사용자 구성 페이지의 Description 필드에 XSS 페이로드 입력 후 다른 사용자가 해당 페이지 방문 시 스크립트 자동 실행
🛡️ 대응 방법
Jenkins를 1.524 이상으로 업그레이드하거나 마크업 포매터의 HTML 이스케이프 기능 활성화
🔧 검증 코드
명령어 실행 후 Jenkins 버전 번호가 출력되면, 1.523 이하인 경우 해당 CVE에 영향을 받으며 즉시 업그레이드가 필요합니다.
java -jar /usr/share/jenkins/jenkins.war --version 2>/dev/null | head -1