🇰🇷 한글 설명
Jenkins Pipeline: Supporting APIs 플러그인 2.17 및 이전 버전에서 샌드박스 보호가 불완전하여 임의 코드가 실행될 수 있는 취약점이 발견되었습니다. 파이프라인 스크립트에 구현된 readResolve와 같은 Java 역직렬화 관련 메서드가 샌드박스의 제한을 받지 않아 공격자가 코드를 실행할 수 있습니다.
💡 쉬운 설명
젠킨스 파이프라인 설정 권한이 있는 사용자가 특수한 스크립트를 작성하여 서버에서 마음대로 명령어를 실행할 수 있는 보안 구멍입니다. 샌드박스라는 안전장치가 특정 코드 실행을 막지 못해 발생하는 문제입니다.
🇺🇸 원문 (English)
Jenkins Pipeline: Supporting APIs Plugin 2.17 and earlier have an arbitrary code execution due to incomplete sandbox protection: Methods related to Java deserialization like readResolve implemented in Pipeline scripts were not subject to sandbox protection, and could therefore execute arbitrary code. This could be exploited e.g. by regular Jenkins users with the permission to configure Pipelines in Jenkins, or by trusted committers to repositories containing Jenkinsfiles.
📍 영향받는 시스템
Jenkins Pipeline: Supporting APIs Plugin 2.17 및 그 이전 버전
⚔️ 공격 벡터
파이프라인을 구성할 수 있는 권한을 가진 사용자나 신뢰할 수 있는 커미터가 악의적인 Java 역직렬화 메서드를 포함한 Jenkinsfile을 실행함
🛡️ 대응 방법
Jenkins Pipeline: Supporting APIs 플러그인을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 2.17 이하인지 확인하십시오.
jenkins-plugin-cli list | grep 'pipeline-supporting-api'