🇰🇷 한글 설명
Jenkins 1.600 이전 버전의 combination filter Groovy 스크립트 처리 방식에서 취약점이 존재합니다. 작업 구성 권한을 가진 원격 인증 사용자가 악의적인 Groovy 코드를 주입하여 마스터 노드에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
Jenkins 빌드 도구의 필터 기능에 보안 허점이 있어서, 관리자 권한이 있는 내부 사용자가 몰래 악의적인 명령어를 실행할 수 있습니다. 외부에서는 직접 공격이 어렵지만, 내부 사용자의 악의적 행동이나 계정 탈취 시 위험합니다.
🇺🇸 원문 (English)
The combination filter Groovy script in Jenkins before 1.600 and LTS before 1.596.1 allows remote authenticated users with job configuration permission to gain privileges and execute arbitrary code on the master via unspecified vectors.
📍 영향받는 시스템
Jenkins 1.600 이전, Jenkins LTS 1.596.1 이전 버전
⚔️ 공격 벡터
작업 구성 권한을 가진 사용자가 combination filter Groovy 스크립트 필드에 악의적 코드 주입
🛡️ 대응 방법
Jenkins를 1.600 이상(LTS 1.596.1 이상)으로 즉시 업그레이드
🔧 검증 코드
출력된 버전 번호가 1.600 이상인지 확인하세요. 1.600 미만이면 취약하며, 설치되지 않았다면 검증 불필요입니다.
dpkg -l jenkins 2>/dev/null | grep jenkins || rpm -q jenkins 2>/dev/null || echo 'Jenkins not found'