🇰🇷 한글 설명
Stapler 2107.v8dfcb_e8ed317 및 이전 버전에서 폼 데이터 바인딩 시 공개 정적 필드를 설정할 수 있는 취약점이 존재합니다. 이를 통해 공격자는 구성 양식을 제출하여 Jenkins 인스턴스 전체에 적용되는 구성 객체의 공개 정적 필드를 수정할 수 있습니다.
💡 쉬운 설명
설정 화면을 통해 입력하는 데이터가 시스템의 핵심적인 공통 설정값까지 마음대로 바꿀 수 있는 보안 약점입니다. 공격자가 이 기능을 악용하면 Jenkins 전체의 동작 방식을 위험하게 변경할 수 있습니다.
🇺🇸 원문 (English)
In Stapler 2107.v8dfcb_e8ed317 and earlier, except 2088.2093.vd7c3e58008a_6, included in Jenkins 2.579 and earlier, LTS 2.568.2 and earlier, form data binding allows setting public static fields of the bound configuration object, allowing attackers who can submit configuration forms to modify public static fields of the configuration objects those forms are bound to, resulting in changes that apply globally to the Jenkins instance.
📍 영향받는 시스템
Stapler 2107.v8dfcb_e8ed317 이하 (Jenkins 2.579 이하, LTS 2.568.2 이하 포함)
⚔️ 공격 벡터
구성 양식(Configuration Form)에 조작된 데이터를 제출하여 공개 정적 필드 값을 변경
🛡️ 대응 방법
Jenkins를 최신 버전(2.579 이상 또는 LTS 2.568.2 이상)으로 업데이트
🔧 검증 코드
출력된 Jenkins 버전이 취약한 버전 범위(2.579 미만 또는 LTS 2.568.2 미만)에 해당하는지 확인
jenkins --version 2>/dev/null || java -jar jenkins.war --version 2>/dev/null || echo 'Check Jenkins version manually'