🇰🇷 한글 설명
Jenkins Script Security Plugin 1415.v9a_f9b_3a_c253d 및 이전 버전에서 URL로 지정된 JAR 파일을 두 번 다운로드하는 취약점이 발견되었습니다. 공격자가 클래스패스 항목을 정의할 수 있다면, 첫 번째 다운로드는 승인하고 두 번째 다운로드된 파일을 로드함으로써 Jenkins 컨트롤러 JVM 권한으로 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
프로그램이 파일을 검사할 때와 실제로 사용할 때 서로 다른 파일을 불러올 수 있는 허점이 있습니다. 이를 통해 해커가 정상적인 파일인 척 속인 뒤 악성 코드를 실행시켜 서버를 장악할 수 있습니다.
🇺🇸 원문 (English)
Jenkins Script Security Plugin 1415.v9a_f9b_3a_c253d and earlier downloads a JAR file specified by URL twice, confirming the approval of the first download and loading the classpath entries from the second, allowing attackers able to define classpath entries to execute arbitrary code in the context of the Jenkins controller JVM.
📍 영향받는 시스템
Jenkins Script Security Plugin 1415.v9a_f9b_3a_c253d 및 그 이전 모든 버전
⚔️ 공격 벡터
클래스패스 항목을 정의할 수 있는 권한을 이용해 URL을 조작하여 악성 JAR 파일을 로드함
🛡️ 대응 방법
Jenkins Script Security Plugin을 최신 보안 패치 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1415.v9a_f9b_3a_c253d보다 낮은지 확인하십시오.
jenkins-plugin-cli list | grep script-security