🇰🇷 한글 설명
Jenkins Microsoft Entra ID 플러그인 666.v6060de32f87d 이전 버전에서 로그인 후 리다이렉트 URL을 검증하지 않아 공격자가 사용자를 악의적인 사이트로 유도할 수 있습니다. 이를 통해 피싱 공격으로 사용자 자격증명이 탈취될 수 있습니다.
💡 쉬운 설명
Jenkins 로그인할 때 공격자가 당신을 가짜 웹사이트로 보낼 수 있습니다. 실제로 로그인된 줄 알고 비밀번호를 입력하면 공격자가 가로챌 수 있습니다.
🇺🇸 원문 (English)
Jenkins Microsoft Entra ID (previously Azure AD) Plugin 666.v6060de32f87d and earlier does not restrict the redirect URL after login, allowing attackers to perform phishing attacks.
📍 영향받는 시스템
Jenkins Microsoft Entra ID Plugin 버전 666.v6060de32f87d 이전 모든 버전
⚔️ 공격 벡터
악성 리다이렉트 URL이 포함된 로그인 링크를 피싱 이메일로 전송하여 사용자 계정 탈취
🛡️ 대응 방법
Jenkins Microsoft Entra ID Plugin을 최신 버전으로 즉시 업데이트하여 리다이렉트 URL 검증 적용
🔧 검증 코드
결과의 버전이 666.v6060de32f87d 이상이면 패치됨, 그 이하면 취약 상태로 즉시 업데이트 필요
unzip -p /var/lib/jenkins/plugins/azure-ad.jpi META-INF/MANIFEST.MF 2>/dev/null | grep Implementation-Version