🇰🇷 한글 설명
Jenkins 마스터-슬레이브 구조에서 익명 읽기 접근이 활성화된 경우, 원격 공격자가 마스터 암호화 키를 획득할 수 있는 취약점입니다. Jenkins 1.498 이전, LTS 1.480.2 이전, Enterprise 버전들이 영향을 받으며, 공격자는 이 키를 통해 시스템의 암호화된 데이터를 복호화할 수 있습니다.
💡 쉬운 설명
Jenkins 자동화 도구에서 마스터 키가 노출되는 보안 문제로, 특정 설정 조건(슬레이브 연결 + 익명 접근)에서만 발생합니다. 공격자가 이 키를 얻으면 Jenkins의 암호화된 정보를 볼 수 있게 됩니다.
🇺🇸 원문 (English)
Unspecified vulnerability in Jenkins before 1.498, Jenkins LTS before 1.480.2, and Jenkins Enterprise 1.447.x before 1.447.6.1 and 1.466.x before 1.466.12.1, when a slave is attached and anonymous read access is enabled, allows remote attackers to obtain the master cryptographic key via unknown vectors.
📍 영향받는 시스템
Jenkins < 1.498, Jenkins LTS < 1.480.2, Jenkins Enterprise 1.447.x < 1.447.6.1, Jenkins Enterprise 1.466.x < 1.466.12.1
⚔️ 공격 벡터
익명 읽기 접근이 활성화되고 슬레이브가 연결된 상태에서 비명시 벡터를 통해 마스터 암호화 키 탈취
🛡️ 대응 방법
Jenkins를 1.498 이상으로 업그레이드하거나, 필요 없으면 익명 읽기 접근을 비활성화하고, Enterprise 사용자는 권장 버전으로 업데이트
🔧 검증 코드
출력된 Jenkins 버전이 1.498 이상(LTS는 1.480.2 이상)이면 안전, 그 이하면 취약점 존재
curl -sI http://localhost:8080 2>/dev/null | grep -i X-Jenkins || grep -oP 'version>\K[^<]+' /var/lib/jenkins/config.xml 2>/dev/null || dpkg -l jenkins 2>/dev/null | grep jenkins | awk '{print $3}'