🇰🇷 한글 설명
Jenkins의 slave overview 페이지에서 인증된 사용자가 slave offline 상태 메시지를 통해 악성 스크립트를 삽입할 수 있는 XSS 취약점입니다. Jenkins 1.638 이전 버전과 LTS 1.625.2 이전 버전이 영향을 받으며, 특정 권한을 가진 사용자만 악용할 수 있습니다.
💡 쉬운 설명
Jenkins 관리자 화면에서 컴퓨터 상태 메시지에 악성 코드를 삽입하는 보안 문제입니다. 로그인한 사용자만 공격할 수 있지만, 다른 관리자의 화면에서 악성 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in the slave overview page in Jenkins before 1.638 and LTS before 1.625.2 allows remote authenticated users with certain permissions to inject arbitrary web script or HTML via the slave offline status message.
📍 영향받는 시스템
Jenkins < 1.638 및 LTS < 1.625.2
⚔️ 공격 벡터
slave overview 페이지의 offline status message에 XSS 페이로드 주입
🛡️ 대응 방법
Jenkins를 1.638 이상 또는 LTS 1.625.2 이상으로 업그레이드
🔧 검증 코드
버전이 1.638 이상(또는 LTS 1.625.2 이상)이면 취약점이 패치됨
curl -s http://jenkins-server:8080/jenkins/api/json 2>/dev/null | grep -o '"version":"[^"]*"' | head -1