🇰🇷 한글 설명
Jenkins Script Security Plugin 1415.v9a_f9b_3a_c253d 및 이전 버전에서 Overall/Administer 권한을 가진 사용자가 아이템을 복사하거나 REST API/CLI를 통해 설정을 업데이트할 때 클래스패스 항목이 자동으로 승인되는 취약점이 발견되었습니다. 이를 통해 공격자는 클래스패스 항목을 정의하여 Jenkins 컨트롤러 JVM 컨텍스트에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 설정을 변경할 때 보안 검사를 건너뛰고 위험한 코드를 자동으로 허용하는 문제입니다. 공격자가 이 허점을 이용하면 Jenkins 서버 전체를 제어할 수 있는 명령을 실행할 수 있습니다.
🇺🇸 원문 (English)
Jenkins Script Security Plugin 1415.v9a_f9b_3a_c253d and earlier automatically approves the classpath entries in an item configuration when a user with Overall/Administer permission copies the item, or updates that configuration through the REST API or CLI, allowing attackers able to define classpath entries to execute arbitrary code in the context of the Jenkins controller JVM.
📍 영향받는 시스템
Jenkins Script Security Plugin 1415.v9a_f9b_3a_c253d 및 그 이전 버전
⚔️ 공격 벡터
관리자 권한을 이용한 아이템 복사, REST API 또는 CLI를 통한 구성 업데이트
🛡️ 대응 방법
Jenkins Script Security Plugin을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1415.v9a_f9b_3a_c253d보다 낮은지 확인하십시오.
jenkins-plugin-cli list | grep script-security