🇰🇷 한글 설명
Jenkins의 원인 관리 기능에서 발생하는 XSS 취약점으로, 인증된 사용자가 '원격 원인 노트' 필드에 악의적인 스크립트를 주입할 수 있습니다. 이를 통해 다른 사용자의 세션 정보나 민감한 정보를 탈취할 수 있습니다.
💡 쉬운 설명
Jenkins 설정에서 텍스트를 입력할 때 악의적인 코드를 몰래 삽입할 수 있는 보안 문제입니다. 다른 관리자가 해당 페이지를 볼 때 주입된 코드가 자동으로 실행되어 정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in java/hudson/model/Cause.java in Jenkins before 1.551 and LTS before 1.532.2 allows remote authenticated users to inject arbitrary web script or HTML via a "remote cause note."
📍 영향받는 시스템
Jenkins 1.551 미만의 일반 버전, LTS 1.532.2 미만의 장기지원 버전
⚔️ 공격 벡터
인증된 사용자가 Jenkins 빌드 원인(cause) 항목의 '원격 원인 노트' 필드에 XSS 페이로드를 입력하여 다른 사용자에게 실행
🛡️ 대응 방법
Jenkins를 버전 1.551 이상(일반) 또는 1.532.2 이상(LTS)로 업그레이드
🔧 검증 코드
Jenkins API 응답에서 버전 정보를 추출합니다. 1.551 이상이면 안전, 그 이하면 패치 필요. Jenkins가 실행 중이지 않거나 접근 불가능하면 설치 경로의 메타데이터 파일을 확인하세요.
curl -s http://localhost:8080/api/json 2>/dev/null | grep -oP '"version":\s*"\K[^"]*'