🇰🇷 한글 설명
Jenkins의 Exclusion 플러그인 버전 0.9 이전에서 리소스 잠금에 대한 접근 제어가 불충분하여, 원격 인증된 사용자가 리소스를 나열하고 해제할 수 있는 권한 상승 취약점입니다. 이를 통해 공유 리소스의 배타적 접근 제어가 우회될 수 있습니다.
💡 쉬운 설명
Jenkins에서 여러 사용자가 공유하는 자원을 보호하는 플러그인이 제대로 보호하지 못해서, 로그인한 사용자가 다른 사람의 자원을 마음대로 해제할 수 있게 됩니다. 이를 통해 중요한 작업이 방해받거나 리소스 할당이 꼬일 수 있습니다.
🇺🇸 원문 (English)
The Exclusion plugin before 0.9 for Jenkins does not properly prevent access to resource locks, which allows remote authenticated users to list and release resources via unspecified vectors.
📍 영향받는 시스템
Jenkins Exclusion 플러그인 0.9 이전 모든 버전
⚔️ 공격 벡터
원격 인증된 사용자가 REST API 또는 플러그인 인터페이스를 통해 리소스 잠금 정보를 접근하고 해제
🛡️ 대응 방법
Exclusion 플러그인을 버전 0.9 이상으로 업그레이드
🔧 검증 코드
Plugin-Version이 0.9 이상이면 안전, 0.9 미만이거나 플러그인이 없으면 취약점 미해당
find /var/lib/jenkins/plugins -name 'exclusion*' -type d 2>/dev/null | xargs -I {} cat {}/META-INF/MANIFEST.MF 2>/dev/null | grep -i 'Plugin-Version'