🇰🇷 한글 설명
Jenkins 2.587 이하 및 LTS 2.580.1 이하 버전은 역직렬화 이후 컬렉션의 항목 타입을 제한하지 않습니다. 이로 인해 POST config.xml API 엔드포인트에 접근 가능한 공격자가 조작된 config.xml 파일을 제출하여 저장형 크로스사이트 스크립팅(XSS) 등의 취약점을 유발할 수 있습니다.
💡 쉬운 설명
Jenkins라는 자동화 도구의 설정 파일 처리에 결함이 있어, 권한이 있는 사용자가 악성 설정 파일을 올리면 다른 사용자의 브라우저에서 악성 스크립트가 실행될 수 있습니다. 설정 변경 권한이 있는 사용자 기준으로 위험이 존재합니다.
🇺🇸 원문 (English)
Jenkins 2.587 and earlier, LTS 2.580.1 and earlier does not restrict item types in collections after deserialization, allowing attackers with access to POST config.xml API endpoints to submit crafted `config.xml` files that can lead to, e.g., stored cross-site scripting (XSS) vulnerabilities.
📍 영향받는 시스템
Jenkins 2.587 이하, Jenkins LTS 2.580.1 이하
⚔️ 공격 벡터
config.xml 설정 API에 접근 권한이 있는 공격자가 조작된 config.xml을 POST로 제출하여 저장형 XSS 유발
🛡️ 대응 방법
Jenkins를 2.588 이상 또는 LTS 2.581.1 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 2.588 이상(LTS는 2.581.1 이상)이면 패치 적용된 것이고, 그 이하이면 취약한 버전입니다.
java -jar jenkins.war --version 2>/dev/null || jenkins-cli version 2>/dev/null