🇰🇷 한글 설명
Jenkins 2.132 및 이전 버전, 2.121.1 및 이전 버전의 Stapler 웹 프레임워크에서 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자가 특정 URL의 존재 여부를 제어할 수 있다면, Stapler 디버그 모드가 활성화된 상태에서 사용자가 404 오류 페이지를 볼 때 악성 자바스크립트가 실행될 수 있습니다.
💡 쉬운 설명
웹사이트의 오류 페이지를 이용해 해커가 몰래 나쁜 코드를 실행시키는 취약점입니다. 디버그 모드가 켜져 있을 때 잘못된 주소로 접속하면 사용자의 브라우저에서 해커의 명령이 작동할 수 있습니다.
🇺🇸 원문 (English)
A cross-site scripting vulnerability exists in Jenkins 2.132 and earlier, 2.121.1 and earlier in the Stapler web framework's org/kohsuke/stapler/Stapler.java that allows attackers with the ability to control the existence of some URLs in Jenkins to define JavaScript that would be executed in another user's browser when that other user views HTTP 404 error pages while Stapler debug mode is enabled.
📍 영향받는 시스템
Jenkins 2.132 및 이전 버전, 2.121.1 및 이전 버전 (Stapler 프레임워크 포함)
⚔️ 공격 벡터
디버그 모드가 활성화된 상태에서 조작된 URL을 통해 404 오류 페이지를 유도하여 스크립트 실행
🛡️ 대응 방법
Jenkins를 최신 버전으로 업데이트하고, 운영 환경에서 Stapler 디버그 모드를 비활성화하십시오.
🔧 검증 코드
Jenkins 버전 정보를 확인하여 취약한 버전 범위에 해당하는지 대조하십시오.
curl -s http://<jenkins-url>/jnlpJars/stapler/org/kohsuke/stapler/Stapler.java | grep -i 'version' || echo 'Manual version check required'