🇰🇷 한글 설명
Jenkins 2.587 이하 및 LTS 2.580.1 이하 버전에서는 에이전트에서 워크스페이스 브라우저의 각 파일 및 디렉터리에 대한 링크 URL을 계산하는데, 이 과정에서 에이전트 프로세스를 통제하는 공격자가 악용할 수 있는 크로스 사이트 스크립팅(XSS) 취약점이 발생합니다. 공격자는 에이전트를 조작해 악성 스크립트가 포함된 링크를 생성할 수 있습니다.
💡 쉬운 설명
Jenkins 작업 공간에서 파일 목록을 볼 때 쓰이는 링크에 악성 코드가 숨겨질 수 있는 취약점입니다. 공격자가 빌드 에이전트를 장악하면 이 링크를 통해 관리자 화면에서 악성 스크립트가 실행될 수 있습니다.
🇺🇸 원문 (English)
Jenkins 2.587 and earlier, LTS 2.580.1 and earlier computes on the agent the URL of the link shown in the workspace browser for each file and directory, resulting in a cross-site scripting (XSS) vulnerability exploitable by attackers in control of agent processes.
📍 영향받는 시스템
Jenkins 2.587 이하, LTS 2.580.1 이하 버전
⚔️ 공격 벡터
에이전트 프로세스를 장악한 공격자가 워크스페이스 파일 링크에 악성 스크립트를 삽입하고, 사용자가 해당 링크를 클릭하면 XSS가 실행됨
🛡️ 대응 방법
Jenkins를 2.588 이상 또는 LTS 2.580.2 이상 버전으로 업데이트하고, 에이전트 보안을 강화
🔧 검증 코드
출력된 버전이 2.588 이상(또는 LTS 2.580.2 이상)이면 패치된 것이며, 2.587 이하(LTS 2.580.1 이하)이면 취약한 상태입니다.
java -jar jenkins.war --version 2>/dev/null || jenkins-cli version 2>/dev/null