🇰🇷 한글 설명
Jenkins Build Failure Analyzer 플러그인 1.16.0 이전 버전의 XSS 취약점으로, 원격 공격자가 명시되지 않은 매개변수를 통해 임의의 웹 스크립트 또는 HTML을 주입할 수 있습니다. 이를 통해 관리자 또는 사용자의 세션 탈취, 악성 코드 실행, 민감한 정보 유출이 가능합니다.
💡 쉬운 설명
Jenkins의 한 기능(플러그인)에서 사용자가 입력한 내용을 제대로 확인하지 않아 악의적인 코드를 몰래 삽입할 수 있는 문제입니다. 이를 통해 다른 사용자의 정보를 훔치거나 계정을 탈취할 수 있습니다.
🇺🇸 원문 (English)
Cross-site scripting (XSS) vulnerability in the Build Failure Analyzer plugin before 1.16.0 in Jenkins allows remote attackers to inject arbitrary web script or HTML via an unspecified parameter.
📍 영향받는 시스템
Jenkins Build Failure Analyzer 플러그인 1.15.0 이하 모든 버전
⚔️ 공격 벡터
플러그인의 웹 인터페이스의 취약한 매개변수에 XSS 페이로드를 주입하여 관리자 또는 사용자 브라우저에서 임의의 스크립트 실행
🛡️ 대응 방법
Build Failure Analyzer 플러그인을 1.16.0 이상으로 업그레이드하거나 플러그인 제거
🔧 검증 코드
명령어 실행 후 'build-failure'를 포함한 디렉토리 이름이 표시되면 설치됨. 버전을 확인하려면 해당 디렉토리명의 버전 번호를 1.16.0과 비교 (1.15.0 이하면 취약)
ls /var/lib/jenkins/plugins/ 2>/dev/null | grep build-failure || echo 'Plugin not found'