🇰🇷 한글 설명
Jenkins 2.483~2.567 및 LTS 2.492.1~2.555.2 버전에서 POST config.xml API를 통해 설정된 오프라인 원인 설명이 적절히 이스케이프되지 않아 저장형 XSS 취약점이 발생합니다. Agent/Configure 권한을 가진 공격자가 악성 스크립트를 삽입하여 실행할 수 있습니다.
💡 쉬운 설명
권한을 가진 사용자가 설정값에 악성 코드를 숨겨두면, 다른 사용자가 해당 페이지를 볼 때 코드가 실행되는 보안 약점입니다. 이를 통해 공격자는 사용자의 세션을 탈취하거나 원치 않는 동작을 수행할 수 있습니다.
🇺🇸 원문 (English)
Jenkins 2.483 through 2.567 (both inclusive), LTS 2.492.1 through 2.555.2 (both inclusive) does not escape the user-provided description of a generic offline cause that could be set through the `POST config.xml` API, resulting in a stored cross-site scripting (XSS) vulnerability exploitable by attackers with Agent/Configure permission.
📍 영향받는 시스템
Jenkins 2.483 ~ 2.567, LTS 2.492.1 ~ 2.555.2
⚔️ 공격 벡터
Agent/Configure 권한을 이용한 POST config.xml API 호출을 통한 악성 스크립트 삽입
🛡️ 대응 방법
취약점이 해결된 최신 버전의 Jenkins로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 취약한 범위(2.483-2.567 또는 LTS 2.492.1-2.555.2)에 포함되는지 확인하십시오.
curl -s http://<JENKINS_URL>/api/xml?depth=1 | grep -oE 'version="[^"]+"'