🇰🇷 한글 설명
Jenkins 1.551 이전 및 LTS 1.532.2 이전 버전에서 iconSize 쿠키를 통해 임의의 웹 스크립트나 HTML을 삽입할 수 있는 XSS 취약점입니다. 원격 공격자가 조작된 쿠키를 이용하여 Jenkins 사용자의 브라우저에서 악성 코드를 실행할 수 있으며, 이는 세션 탈취나 권한 상승으로 이어질 수 있습니다.
💡 쉬운 설명
Jenkins의 화면 크기 설정을 저장하는 쿠키에 악성 코드를 몰래 숨길 수 있어서, Jenkins를 사용하는 사람의 컴퓨터에서 원치 않은 동작을 실행시킬 수 있습니다. 이를 통해 계정 정보를 탈취하거나 시스템을 제어할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in Jenkins before 1.551 and LTS before 1.532.2 allows remote attackers to inject arbitrary web script or HTML via the iconSize cookie.
📍 영향받는 시스템
Jenkins 1.550 이하, Jenkins LTS 1.532.1 이하
⚔️ 공격 벡터
원격 공격자가 조작된 iconSize 쿠키 값을 포함한 HTTP 요청을 전송하여 XSS 페이로드 실행
🛡️ 대응 방법
Jenkins를 1.551 이상 또는 LTS 1.532.2 이상으로 즉시 업그레이드
🔧 검증 코드
설치된 Jenkins 패키지의 버전 번호를 확인하여 1.551 미만이거나 LTS 1.532.1 이하면 취약함
dpkg -l 2>/dev/null | grep jenkins || rpm -qa 2>/dev/null | grep jenkins