🇰🇷 한글 설명
Jenkins Docker Commons Plugin 1.17 및 이전 버전에서 이미지 또는 태그 이름을 적절히 검증하지 않아 발생하는 OS 명령 실행 취약점입니다. 아이템 구성 권한이 있거나 이전에 설정된 작업의 SCM 저장소 내용을 제어할 수 있는 공격자가 이를 악용할 수 있습니다.
💡 쉬운 설명
도커 이미지 이름에 악성 명령어를 섞어 넣으면 서버가 이를 실행해 버리는 보안 결함입니다. 권한을 가진 사용자가 시스템을 마음대로 조종할 수 있어 위험합니다.
🇺🇸 원문 (English)
Jenkins Docker Commons Plugin 1.17 and earlier does not sanitize the name of an image or a tag, resulting in an OS command execution vulnerability exploitable by attackers with Item/Configure permission or able to control the contents of a previously configured job's SCM repository.
📍 영향받는 시스템
Jenkins Docker Commons Plugin 1.17 및 그 이전 버전
⚔️ 공격 벡터
이미지 이름이나 태그에 악성 명령어를 삽입하여 Jenkins 서버에서 실행 유도
🛡️ 대응 방법
Jenkins Docker Commons Plugin을 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전이 1.17 이하인지 확인하여 취약 여부를 판단합니다.
jenkins-plugin-cli list | grep docker-commons