🇰🇷 한글 설명
Jenkins 2.587 이하 및 LTS 2.580.1 이하 버전에서 에이전트가 Stapler HttpResponse 인터페이스를 구현한 예외를 컨트롤러로 전송할 수 있어, 에이전트 프로세스를 제어하는 공격자가 악용 가능한 크로스 사이트 스크립팅(XSS) 취약점이 발생합니다. CVSS 점수는 6.1(중간)입니다.
💡 쉬운 설명
Jenkins 빌드 서버에 연결된 작업용 컴퓨터(에이전트)를 장악한 공격자가 관리 화면에 악성 스크립트를 심을 수 있습니다. 관리자가 해당 화면을 열면 공격자가 의도한 동작이 브라우저에서 실행될 수 있습니다.
🇺🇸 원문 (English)
Jenkins 2.587 and earlier, LTS 2.580.1 and earlier allows agents to send exceptions implementing the Stapler HttpResponse interface to the controller, resulting in a cross-site scripting (XSS) vulnerability exploitable by attackers in control of agent processes.
📍 영향받는 시스템
Jenkins 2.587 이하, Jenkins LTS 2.580.1 이하 버전
⚔️ 공격 벡터
에이전트 프로세스를 장악한 공격자가 HttpResponse를 구현한 예외를 컨트롤러로 보내 관리 화면에서 XSS를 유발
🛡️ 대응 방법
Jenkins 최신 버전(2.588 이상 또는 해당 LTS 패치 버전)으로 업데이트
🔧 검증 코드
출력된 버전이 2.587 이하(LTS는 2.580.1 이하)이면 취약, 그보다 높은 패치 버전이면 조치 완료로 판단
java -jar jenkins.war --version 2>/dev/null || jenkins-cli version 2>/dev/null