🇰🇷 한글 설명
Jenkins 2.88 및 이전 버전, 2.73.2 및 이전 버전에서 텍스트 필드의 자동 완성 제안 기능에 이스케이프 처리가 누락되었습니다. 이로 인해 HTML 메타문자를 포함한 텍스트가 저장될 경우 지속형 교차 사이트 스크립팅(XSS) 취약점이 발생할 수 있습니다.
💡 쉬운 설명
입력창에 글자를 칠 때 나타나는 자동 완성 기능에 보안 허점이 있습니다. 공격자가 악성 코드를 입력해두면, 다른 사용자가 해당 메뉴를 볼 때 웹 브라우저에서 몰래 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
Jenkins 2.88 and earlier; 2.73.2 and earlier Autocompletion suggestions for text fields were not escaped, resulting in a persisted cross-site scripting vulnerability if the source for the suggestions allowed specifying text that includes HTML metacharacters like less-than and greater-than characters.
📍 영향받는 시스템
Jenkins 2.88 및 이전 버전, 2.73.2 및 이전 버전
⚔️ 공격 벡터
자동 완성 소스에 HTML 메타문자가 포함된 텍스트를 삽입하여 저장한 후, 사용자가 해당 필드를 이용할 때 스크립트 실행 유도
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위(2.88 이하 또는 2.73.2 이하)에 해당하는지 확인하십시오.
curl -s http://<JENKINS_URL>/jelly/api/json | grep -E 'version' | sed 's/.*"version":"\([^\"]*\)".*/\1/'