🇰🇷 한글 설명
Jenkins 2.93 이전 버전에서 원격 인증된 관리자가 job configuration form의 tool name 필드에 XSS payload를 삽입하여 악의적인 코드를 실행할 수 있는 취약점입니다. JDK tool과 Ant plugin의 Ant tool 등이 영향을 받으며, 다른 사용자의 브라우저에서 공격자의 스크립트가 실행될 수 있습니다.
💡 쉬운 설명
Jenkins 관리자가 설정 페이지에서 악의적인 도구 이름을 입력하여 다른 사용자의 컴퓨터에 악성 코드를 실행시킬 수 있습니다. 관리자 권한이 필요하므로 위험도는 중간 수준입니다.
🇺🇸 원문 (English)
Jenkins through 2.93 allows remote authenticated administrators to conduct XSS attacks via a crafted tool name in a job configuration form, as demonstrated by the JDK tool in Jenkins core and the Ant tool in the Ant plugin, aka SECURITY-624.
📍 영향받는 시스템
Jenkins 2.93 이전 버전 (JDK tool in Jenkins core, Ant plugin 포함)
⚔️ 공격 벡터
Job configuration form의 tool name 필드에 XSS payload를 주입하여 다른 사용자의 세션에서 악성 스크립트 실행
🛡️ 대응 방법
Jenkins를 2.94 이상으로 즉시 업그레이드
🔧 검증 코드
반환된 Jenkins 버전이 2.94 이상이면 안전하며, 2.93 이하면 취약점이 있어 업그레이드가 필요합니다.
curl -s http://localhost:8080/version || dpkg -l jenkins 2>/dev/null | awk '/jenkins/{print $3}'