🇰🇷 한글 설명
Jenkins 2.44 및 2.32.2 미만 버전에서 콘솔 노트 기능을 통해 지속성 XSS 취약점이 발생합니다. 악의적인 사용자가 빌드 로그에 직렬화된 콘솔 노트를 삽입하여, 해당 로그를 확인하는 Jenkins 사용자를 대상으로 XSS 공격을 수행할 수 있습니다.
💡 쉬운 설명
빌드 기록에 몰래 악성 코드를 숨겨두어, 관리자가 로그를 확인하는 순간 관리자의 권한을 탈취할 수 있는 보안 약점입니다. 빌드 스크립트를 수정할 수 있는 권한이 있다면 누구나 공격을 시도할 수 있습니다.
🇺🇸 원문 (English)
jenkins before versions 2.44, 2.32.2 is vulnerable to a persisted cross-site scripting vulnerability in console notes (SECURITY-382). Jenkins allows plugins to annotate build logs, adding new content or changing the presentation of existing content while the build is running. Malicious Jenkins users, or users with SCM access, could configure jobs or modify build scripts such that they print serialized console notes that perform cross-site scripting attacks on Jenkins users viewing the build logs.
📍 영향받는 시스템
Jenkins versions before 2.44 and 2.32.2
⚔️ 공격 벡터
악의적인 빌드 스크립트를 통해 직렬화된 콘솔 노트를 출력하여 관리자의 브라우저에서 스크립트 실행 유도
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전(2.44 또는 2.32.2 이상)으로 즉시 업데이트
🔧 검증 코드
출력된 JSON 결과에서 현재 설치된 Jenkins의 버전이 취약한 버전 범위에 있는지 확인합니다.
curl -s http://<jenkins-url>/jnlpJ败/api/json | grep -E '"version":"(2\.[0-9]{2}|2\.44|2\.32\.2)' || echo 'Version check required manually'