🇰🇷 한글 설명
Jenkins Bitbucket OAuth 플러그인 0.17 이하 버전에서 로그인 후 리다이렉트 URL을 검증하지 않아 공격자가 악의적 사이트로 사용자를 유도할 수 있습니다. 이를 통해 자격증명 탈취 등 피싱 공격이 가능합니다.
💡 쉬운 설명
Jenkins 로그인 시 사용자가 공격자가 원하는 다른 웹사이트로 보내질 수 있습니다. 공격자가 비밀번호를 입력받는 가짜 페이지로 유도하여 계정 정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
Jenkins Bitbucket OAuth Plugin 0.17 and earlier does not restrict the redirect URL after login, allowing attackers to perform phishing attacks.
📍 영향받는 시스템
Jenkins Bitbucket OAuth Plugin 0.17 이하
⚔️ 공격 벡터
OAuth 리다이렉트 URL 파라미터 조작을 통한 피싱 공격
🛡️ 대응 방법
Bitbucket OAuth Plugin을 0.18 이상으로 업그레이드
🔧 검증 코드
출력된 Plugin-Version이 0.18 이상이면 안전, 0.17 이하면 즉시 업데이트 필요
unzip -p /var/lib/jenkins/plugins/bitbucket-oauth.hpi META-INF/MANIFEST.MF 2>/dev/null | grep 'Plugin-Version'