🇰🇷 한글 설명
Jenkins 2.567 및 LTS 2.555.2 이전 버전은 로그인 후 리다이렉트 URL 검증 과정에서 상대 경로 세그먼트(`./` 또는 `../`)를 잘못 처리하는 취약점이 있습니다. 이로 인해 공격자가 악성 사이트로 사용자를 유도하는 피싱 공격을 수행할 수 있습니다.
💡 쉬운 설명
Jenkins 로그인 후 이동할 주소를 확인할 때, 악의적인 상대 경로가 포함된 URL을 정상적인 것으로 오인하는 문제가 있습니다. 해커는 이 점을 이용해 사용자를 가짜 로그인 페이지로 유도할 수 있습니다.
🇺🇸 원문 (English)
Jenkins 2.567 and earlier, LTS 2.555.2 and earlier improperly determines that a redirect URL after login is legitimately pointing to Jenkins when it contains relative path segments (`./` or `../`), allowing attackers to perform phishing attacks.
📍 영향받는 시스템
Jenkins 2.567 이하, LTS 2.555.2 이하
⚔️ 공격 벡터
로그인 후 리다이렉트 URL에 상대 경로(`./` 또는 `../`)를 포함시켜 피싱 사이트로 유도
🛡️ 대응 방법
Jenkins를 최신 안정 버전으로 업그레이드하여 취약점을 패치하십시오.
🔧 검증 코드
출력된 버전이 2.567 이하 또는 LTS 2.555.2 이하인 경우 취약한 것으로 판단합니다.
curl -s http://localhost:8080/version.txt 2>/dev/null || echo 'Jenkins not found'