🇰🇷 한글 설명
Jenkins 2.137 및 이전 버전, 2.121.2 및 이전 버전의 XStream2.java에서 java.net.URL 인스턴스를 역직렬화할 때 도메인 이름을 해석하도록 허용하는 취약점이 존재합니다. 공격자는 이를 악용하여 Jenkins가 특정 도메인에 접속하도록 유도할 수 있습니다.
💡 쉬운 설명
해커가 특수하게 조작된 데이터를 보내면, Jenkins 서버가 자신도 모르게 외부의 특정 주소로 접속을 시도하게 만드는 문제입니다. 이를 통해 서버의 내부 정보를 유출하거나 공격자의 서버 위치를 확인하는 데 악용될 수 있습니다.
🇺🇸 원문 (English)
A vulnerability exists in Jenkins 2.137 and earlier, 2.121.2 and earlier in XStream2.java that allows attackers to have Jenkins resolve a domain name when deserializing an instance of java.net.URL.
📍 영향받는 시스템
Jenkins 2.137 및 이전 버전, 2.121.2 및 이전 버전
⚔️ 공격 벡터
역직렬화 과정에서 조작된 java.net.URL 객체를 전달하여 서버의 DNS 조회를 유도하는 방식
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 취약한 버전 범위(2.137 이하 또는 2.121.2 이하)에 해당하는지 확인하십시오.
curl -s http://localhost:8080/jelly/api/json | grep -oE '"version":"[^"]+"'