🇰🇷 한글 설명
Jenkins Script Security Plugin 1.36 및 이전 버전에서 Groovy의 타입 강제 변환 기능을 악용하여 새로운 File 객체를 생성할 수 있는 취약점이 발견되었습니다. 이를 통해 공격자는 Jenkins 마스터 파일 시스템의 임의 파일을 읽을 수 있습니다. 현재 이 기능은 샌드박스 보호 대상이며 스크립트 승인이 필요한 생성자로 분류되었습니다.
💡 쉬운 설명
Jenkins에서 스크립트를 실행할 수 있는 권한이 있는 사용자가 시스템의 중요한 파일을 몰래 읽을 수 있는 보안 약점입니다. Groovy라는 언어의 특성을 이용해 파일 접근 권한을 우회하는 방식입니다.
🇺🇸 원문 (English)
In Jenkins Script Security Plugin version 1.36 and earlier, users with the ability to configure sandboxed Groovy scripts are able to use a type coercion feature in Groovy to create new `File` objects from strings. This allowed reading arbitrary files on the Jenkins master file system. Such a type coercion is now subject to sandbox protection and considered to be a call to the `new File(String)` constructor for the purpose of in-process script approval.
📍 영향받는 시스템
Jenkins Script Security Plugin version 1.36 and earlier
⚔️ 공격 벡터
샌드박스 내 Groovy 스크립트의 타입 강제 변환(Type Coercion) 기능을 이용한 파일 읽기 공격
🛡️ 대응 방법
Jenkins Script Security Plugin을 최신 버전으로 업데이트하여 샌드박스 보호 기능을 적용하십시오.
🔧 검증 코드
출력된 script-security 플러그인의 버전이 1.36 이하인지 확인하십시오.
jenkins-plugin-cli list | grep script-security