🇰🇷 한글 설명
Jenkins 1.551 이전 버전의 BuildTrigger 기능에서 인증된 원격 사용자가 작업 간 트리거 설정을 통해 접근 제어를 우회할 수 있는 취약점입니다. CVE-2013-7330에 대한 불완전한 보안 패치로 인해 발생했으며, 공격자가 권한이 없는 작업을 임의로 실행할 수 있습니다.
💡 쉬운 설명
Jenkins의 '작업 연결' 기능에서 접근 권한이 제대로 확인되지 않아 권한 없는 사용자도 다른 작업을 실행할 수 있습니다. 이를 악용하면 서버에서 원하지 않는 코드 실행이나 데이터 유출이 발생할 수 있습니다.
🇺🇸 원문 (English)
BuildTrigger in Jenkins before 1.551 and LTS before 1.532.2 allows remote authenticated users to bypass access restrictions and execute arbitrary jobs by configuring a job to trigger another job. NOTE: this vulnerability exists because of an incomplete fix for CVE-2013-7330.
📍 영향받는 시스템
Jenkins 1.551 이전, Jenkins LTS 1.532.2 이전
⚔️ 공격 벡터
인증된 사용자가 BuildTrigger 설정으로 접근 제한된 작업을 간접 실행
🛡️ 대응 방법
Jenkins를 1.551 이상 또는 LTS 1.532.2 이상으로 즉시 업그레이드
🔧 검증 코드
출력된 버전이 1.551 미만이거나 LTS 버전이 1.532.2 미만이면 취약함
curl -s -I http://localhost:8080/ 2>/dev/null | grep -i 'X-Jenkins' | grep -oP 'Jenkins/\K[0-9.]+'