🇰🇷 한글 설명
Jenkins Script Security Plugin 1415.v9a_f9b_3a_c253d 및 이전 버전에서 @GroovyASTTransformationClass 어노테이션을 거부하지 않는 취약점이 발견되었습니다. 이를 통해 샌드박스 스크립트 실행 권한을 가진 공격자가 컴파일 시점에 임의의 AST 변환을 실행하여 샌드박스를 우회하고 Jenkins 컨트롤러 JVM에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
보안 검사를 받는 스크립트가 검사 도구를 속여서 시스템의 핵심 권한을 탈취할 수 있는 결함입니다. 공격자가 이 허점을 이용하면 Jenkins 서버 전체를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
Jenkins Script Security Plugin 1415.v9a_f9b_3a_c253d and earlier does not reject the @GroovyASTTransformationClass annotation, allowing attackers with permission to define and run sandboxed scripts, including Pipelines, to run an arbitrary AST transformation at compile time, bypassing the sandbox protection and executing arbitrary code in the context of the Jenkins controller JVM.
📍 영향받는 시스템
Jenkins Script Security Plugin 1415.v9a_f9b_3a_c253d 및 그 이전 버전
⚔️ 공격 벡터
샌드박스 스크립트 실행 권한을 이용한 @GroovyASTTransformationClass 어노테이션 주입 및 컴파일 타임 코드 실행
🛡️ 대응 방법
Jenkins Script Security Plugin을 최신 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 script-security 플러그인의 버전이 1415.v9a_f9b_3a_c253d보다 높은지 확인하십시오.
jenkins-plugin-cli list | grep script-security