🇰🇷 한글 설명
Jenkins 2.579 및 이전 버전, LTS 2.568.2 및 이전 버전에서 발생하는 취약점입니다. 사용자가 제출한 config.xml 문서 내에 독립적인 최상위 설정 파일 객체를 중첩된 필드 값으로 포함시킬 수 있으며, 이를 통해 Stapler가 HTTP 요청을 처리하는 과정에서 원격 코드 실행(RCE)이 가능해집니다.
💡 쉬운 설명
해커가 조작된 설정 파일을 Jenkins에 업로드하여 서버를 마음대로 조종할 수 있는 보안 구멍입니다. 이를 통해 공격자는 원격에서 악성 명령을 실행하여 시스템을 장악할 수 있습니다.
🇺🇸 원문 (English)
In Jenkins 2.579 and earlier, LTS 2.568.2 and earlier, objects of types marked as storing their configuration in independent top-level configuration files in Jenkins (such as the global configuration and jobs) can appear as nested field values in user-submitted `config.xml` documents and subsequently handle HTTP requests via Stapler, resulting in remote code execution.
📍 영향받는 시스템
Jenkins 2.579 및 이전 버전, LTS 2.568.2 및 이전 버전
⚔️ 공격 벡터
사용자가 조작된 config.xml 파일을 업로드하여 Stapler 프레임워크의 처리 과정을 악용하는 방식
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위(2.579 이하 또는 LTS 2.568.2 이하)에 해당하는지 확인하십시오.
jenkins --version 2>/dev/null || curl -s http://localhost:8080/jelly/api/json | grep -oP '"version":"\K[^"]+'