🇰🇷 한글 설명
Jenkins 2.587 이하 및 LTS 2.580.1 이하 버전에서는 XStream 역직렬화 과정 중 `resolves-to` 속성으로 참조되는 클래스에 역직렬화 필터가 적용되지 않습니다. 이로 인해 필터를 우회한 악성 객체 생성이 가능해질 수 있습니다.
💡 쉬운 설명
Jenkins라는 소프트웨어가 외부 데이터를 처리할 때 보안 검사를 일부 빠뜨리는 문제입니다. 공격자가 이 허점을 이용하면 서버를 제어할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
Jenkins 2.587 and earlier, LTS 2.580.1 and earlier does not apply its deserialization filter to classes referenced by the `resolves-to` attribute during XStream deserialization.
📍 영향받는 시스템
Jenkins 2.587 이하 및 LTS 2.580.1 이하 버전
⚔️ 공격 벡터
조작된 XStream 직렬화 데이터를 Jenkins에 전송하여 필터를 우회한 역직렬화 공격 수행
🛡️ 대응 방법
Jenkins를 2.588 이상 또는 LTS 2.580.2 이상 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 2.587 이하 또는 LTS 2.580.1 이하이면 취약하며, 2.588 이상 또는 LTS 2.580.2 이상이면 패치된 상태입니다.
java -jar jenkins.war --version 2>/dev/null || (command -v jenkins >/dev/null && jenkins --version 2>/dev/null)