🇰🇷 한글 설명
Jenkins 2.567 및 LTS 2.555.2 이전 버전은 로그인 후 리다이렉트 URL에서 // 사이에 탭이나 개행 문자가 포함되면 이를 정당한 Jenkins 주소로 잘못 판단하는 취약점이 있습니다. 이로 인해 공격자가 피싱 공격을 수행할 수 있습니다.
💡 쉬운 설명
로그인 후 이동할 주소를 조작해 사용자를 사기 사이트로 유도할 수 있는 문제입니다. Jenkins가 악성 링크를 정상적인 사이트로 오인하도록 만드는 취약점입니다.
🇺🇸 원문 (English)
Jenkins 2.567 and earlier, LTS 2.555.2 and earlier improperly determines that a redirect URL after login is legitimately pointing to Jenkins when it contains tab or newline characters between `//`, allowing attackers to perform phishing attacks.
📍 영향받는 시스템
Jenkins 2.567 및 이전 버전, LTS 2.555.2 및 이전 버전
⚔️ 공격 벡터
로그인 리다이렉트 URL에 탭이나 개행 문자를 삽입하여 피싱 사이트로 유도
🛡️ 대응 방법
Jenkins를 최신 안정 버전으로 업그레이드하여 해당 취약점을 해결하세요.
🔧 검증 코드
출력된 버전이 2.567 이하이거나 LTS 2.555.2 이하인 경우 취약한 것으로 판단합니다.
curl -s http://localhost:8080/version.txt 2>/dev/null | grep -E '^[0-9]+\.[0-9]+\.[0-9]+'