🇰🇷 한글 설명
Jenkins Script Security 플러그인 1.18.1 이전 버전에서 Groovy 샌드박스 보호 메커니즘을 우회할 수 있는 취약점입니다. 직접 필드 접근이나 배열의 get/set 작업을 통해 보안 제한을 회피하여 임의의 코드 실행이 가능합니다.
💡 쉬운 설명
Jenkins는 파이프라인 스크립트 실행 시 보안 제한을 두어 위험한 작업을 차단합니다. 이 취약점은 그 보안 제한을 우회하여 공격자가 제한된 작업을 실행할 수 있게 합니다.
🇺🇸 원문 (English)
The Script Security plugin before 1.18.1 in Jenkins might allow remote attackers to bypass a Groovy sandbox protection mechanism via a plugin that performs (1) direct field access or (2) get/set array operations.
📍 영향받는 시스템
Jenkins Script Security Plugin < 1.18.1
⚔️ 공격 벡터
Groovy 플러그인을 통해 직접 필드 접근 또는 배열 get/set 메소드로 샌드박스 제한 우회
🛡️ 대응 방법
Script Security 플러그인을 1.18.1 이상으로 업그레이드
🔧 검증 코드
1.18.1 미만의 버전이 표시되면 취약점 존재. 1.18.1 이상이면 패치됨
find /var/lib/jenkins/plugins -name 'script-security*' -type d 2>/dev/null | head -1 | xargs -I {} ls {}/META-INF/MANIFEST.MF 2>/dev/null | grep -i version