🇰🇷 한글 설명
Jenkins 2.579 및 이전 버전, LTS 2.568.2 및 이전 버전에서 시스템 로그 뷰어가 로그 레코드 메타데이터(소스, 레벨, 타임스탬프)를 적절히 이스케이프 처리하지 않아 저장형 XSS 취약점이 발생합니다. 에이전트 프로세스를 제어할 수 있는 공격자가 이를 악용할 수 있습니다.
💡 쉬운 설명
로그 기록에 악성 코드를 숨겨두면 관리자가 로그를 확인하는 순간 해커의 공격이 실행될 수 있는 보안 약점입니다. 에이전트 권한을 가진 사용자가 로그 정보를 조작하여 관리자의 브라우저를 공격할 수 있습니다.
🇺🇸 원문 (English)
In Jenkins 2.579 and earlier, LTS 2.568.2 and earlier, the system log viewer does not escape log record metadata (source, level, and timestamp) resulting in a stored cross-site scripting (XSS) vulnerability exploitable by attackers in control of agent processes.
📍 영향받는 시스템
Jenkins 2.579 이하 버전 및 LTS 2.568.2 이하 버전
⚔️ 공격 벡터
에이전트 프로세스를 제어하는 공격자가 로그 메타데이터에 악성 스크립트를 삽입하여 저장형 XSS 공격 수행
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 즉시 업데이트
🔧 검증 코드
출력된 버전 정보가 취약한 버전 범위에 포함되는지 확인
curl -s http://localhost:8080/jelly/api/jenkins/version | grep -E '2.579|2.568.2'