🇰🇷 한글 설명
Jenkins 1.586 이전 버전에서 Tomcat 7.0.41 이상 실행 시 세션 쿠키에 HttpOnly 플래그가 설정되지 않아, 원격 공격자가 XSS 공격을 통해 JavaScript로 쿠키에 접근할 수 있는 취약점입니다. 이는 세션 정보 유출로 이어져 계정 탈취 위험을 증가시킵니다.
💡 쉬운 설명
Jenkins의 로그인 정보를 저장하는 쿠키가 자바스크립트로부터 보호되지 않습니다. 악의적인 웹사이트에 접속하면 해커가 당신의 Jenkins 로그인 세션을 훔칠 수 있습니다.
🇺🇸 원문 (English)
Jenkins before 1.586 does not set the HttpOnly flag in a Set-Cookie header for session cookies when run on Tomcat 7.0.41 or later, which makes it easier for remote attackers to obtain potentially sensitive information via script access to cookies.
📍 영향받는 시스템
Jenkins < 1.586 (Tomcat 7.0.41 이상 환경)
⚔️ 공격 벡터
XSS(Cross-Site Scripting)를 통해 JavaScript를 실행하여 HttpOnly 플래그 없는 세션 쿠키 탈취
🛡️ 대응 방법
Jenkins를 1.586 버전 이상으로 업그레이드
🔧 검증 코드
버전이 1.586 이상이면 안전, 그 이하면 취약함 (설치된 경우)
dpkg -l jenkins 2>/dev/null | grep jenkins | awk '{print $3}'