🇰🇷 한글 설명
Jenkins 2.3 이전 및 LTS 1.651.2 이전 버전에서 scheme-relative URL을 이용한 오픈 리다이렉트 취약점이 존재합니다. 이 취약점을 악용하면 공격자가 사용자를 신뢰하는 Jenkins 인스턴스에서 임의의 악의적인 웹사이트로 리다이렉트시켜 피싱 공격을 수행할 수 있습니다.
💡 쉬운 설명
Jenkins 소프트웨어의 오래된 버전에서 공격자가 정상적인 링크인 것처럼 위장한 주소로 사용자를 악의적인 웹사이트로 보낼 수 있는 문제입니다. 사용자가 모르는 사이에 개인정보가 도용될 수 있습니다.
🇺🇸 원문 (English)
Multiple open redirect vulnerabilities in Jenkins before 2.3 and LTS before 1.651.2 allow remote attackers to redirect users to arbitrary web sites and conduct phishing attacks via unspecified vectors related to "scheme-relative" URLs.
📍 영향받는 시스템
Jenkins < 2.3 및 Jenkins LTS < 1.651.2
⚔️ 공격 벡터
Scheme-relative URL 매개변수를 조작하여 사용자를 임의의 외부 웹사이트로 리다이렉트
🛡️ 대응 방법
Jenkins를 2.3 이상 또는 LTS 1.651.2 이상으로 즉시 업그레이드
🔧 검증 코드
X-Jenkins-Version 헤더의 버전 번호가 2.3 미만이거나 LTS 1.651.2 미만이면 취약점 존재, 해당 버전 이상이면 패치됨
curl -sI http://localhost:8080 2>/dev/null | grep -i 'x-jenkins-version' | awk -F': ' '{print $NF}'