🇰🇷 한글 설명
Jenkins Script Security Plugin 1415.v9a_f9b_3a_c253d 및 이전 버전에서 샌드박스 스크립트가 컬렉션 자체를 다른 타입으로 캐스팅할 때 발생하는 취약점입니다. 이를 통해 샌드박스 권한을 가진 공격자가 보안 제한을 우회하고 Jenkins 컨트롤러 JVM 환경에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
보안이 적용된 제한된 구역(샌드박스) 내에서 실행되는 스크립트가 보안 규칙을 속여 시스템 전체를 제어할 수 있는 문제입니다. 공격자가 이 취약점을 이용하면 Jenkins 서버의 권한을 완전히 탈취할 수 있습니다.
🇺🇸 원문 (English)
Jenkins Script Security Plugin 1415.v9a_f9b_3a_c253d and earlier checks the operations Groovy will perform with the elements it reads from a collection that a sandboxed script casts to another type but performs the cast on the collection itself, allowing attackers with permission to define and run sandboxed scripts, including Pipelines, to bypass the sandbox protection and execute arbitrary code in the context of the Jenkins controller JVM.
📍 영향받는 시스템
Jenkins Script Security Plugin 1415.v9a_f9b_3a_c253d 및 그 이전 버전
⚔️ 공격 벡터
샌드박스 권한을 가진 사용자가 특수하게 조작된 Groovy 스크립트를 실행하여 타입 캐스팅 취약점을 이용한 보안 우회
🛡️ 대응 방법
Jenkins Script Security Plugin을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 script-security 플러그인의 버전이 1415.v9a_f9b_3a_c253d보다 낮은지 확인하십시오.
jenkins-plugin-cli list | grep script-security