🇰🇷 한글 설명
Jenkins Script Security Plugin 1415.v9a_f9b_3a_c253d 및 이전 버전에서 null 수신자에 대한 작업(메서드 호출, 속성 및 특성 액세스, 배열 액세스)을 가로채지 못하는 취약점이 발견되었습니다. 이를 통해 샌드박스 스크립트를 실행할 권한이 있는 공격자는 샌드박스 보호를 우회하고 Jenkins 컨트롤러 JVM 컨텍스트에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
샌드박스라는 안전한 울타리 안에서 코드를 실행할 때, 특정 빈 값(null)을 이용한 트릭을 통해 울타리를 넘어가는 보안 구멍이 발견되었습니다. 공격자가 이 구멍을 이용하면 서버의 권한을 완전히 탈취하여 악성 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Jenkins Script Security Plugin 1415.v9a_f9b_3a_c253d and earlier does not intercept operations performed on a null receiver (method calls, property and attribute accesses, and array accesses), allowing attackers with permission to define and run sandboxed scripts, including Pipelines, to bypass the sandbox protection and execute arbitrary code in the context of the Jenkins controller JVM.
📍 영향받는 시스템
Jenkins Script Security Plugin 1415.v9a_f9b_3a_c253d 및 그 이전 버전
⚔️ 공격 벡터
샌드박스 권한을 가진 사용자가 null 수신자를 이용한 특수 스크립트를 실행하여 보안 제어를 우회함
🛡️ 대응 방법
Jenkins Script Security Plugin을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 script-security 플러그인의 버전이 1415.v9a_f9b_3a_c253d보다 높은지 확인하십시오.
jenkins-plugin-manager --list | grep script-security