🇰🇷 한글 설명
Jenkins의 create-job CLI 명령어에 XML 외부 엔티티(XXE) 취약점이 존재하여 공격자가 get-job, update-job 등의 XML 인식 도구를 통해 임의의 파일을 읽을 수 있습니다. 이는 Jenkins 1.638 이전 버전과 LTS 1.625.2 이전 버전에 영향을 미칩니다.
💡 쉬운 설명
Jenkins 작업 설정 기능에 XML 처리 문제가 있어서, 공격자가 서버의 민감한 파일들을 읽어갈 수 있습니다. Jenkins를 최신 버전으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
XML external entity (XXE) vulnerability in the create-job CLI command in Jenkins before 1.638 and LTS before 1.625.2 allows remote attackers to read arbitrary files via a crafted job configuration that is then used in an "XML-aware tool," as demonstrated by get-job and update-job.
📍 영향받는 시스템
Jenkins 1.638 이전, Jenkins LTS 1.625.2 이전
⚔️ 공격 벡터
create-job, get-job, update-job CLI 명령어를 통해 XXE payload가 포함된 job 설정을 전송하여 임의 파일 읽기 실행
🛡️ 대응 방법
Jenkins를 1.638 이상 또는 LTS 1.625.2 이상으로 업데이트
🔧 검증 코드
출력된 버전이 1.638 이상이면 안전함. 1.638 미만이면 취약점 존재
jenkins --version 2>/dev/null | grep -oE '^[0-9]+\.[0-9]+' || rpm -qa jenkins 2>/dev/null | grep -oE '[0-9]+\.[0-9]+'