🇰🇷 한글 설명
CloudBees Jenkins 1.551 이전 버전과 LTS 1.532.2 이전 버전의 RemotingDiagnostics.java 파일의 doIndex 함수에 존재하는 취약점으로, ADMINISTER 권한을 가진 원격 인증된 사용자가 heapDump 관련 벡터를 통해 민감한 정보를 획득할 수 있는 정보 유출 취약점입니다.
💡 쉬운 설명
Jenkins 관리자 권한을 가진 사용자가 메모리 덤프 기능을 악용하여 패스워드, 토큰 등 민감한 정보를 열람할 수 있습니다. 내부 시스템 정보 유출로 인한 추가 공격의 발판이 될 수 있습니다.
🇺🇸 원문 (English)
The doIndex function in hudson/util/RemotingDiagnostics.java in CloudBees Jenkins before 1.551 and LTS before 1.532.2 allows remote authenticated users with the ADMINISTER permission to obtain sensitive information via vectors related to heapDump.
📍 영향받는 시스템
CloudBees Jenkins < 1.551, Jenkins LTS < 1.532.2
⚔️ 공격 벡터
ADMINISTER 권한을 가진 원격 사용자가 heapDump 기능의 RemotingDiagnostics를 통해 JVM 메모리 정보 접근
🛡️ 대응 방법
Jenkins를 1.551 이상 또는 LTS 1.532.2 이상으로 업그레이드하고, ADMINISTER 권한 부여를 최소화
🔧 검증 코드
설치된 Jenkins 버전이 표시되면, 버전 번호가 1.551 이상인지 확인하세요. 버전이 낮으면 업그레이드 필요
dpkg -l jenkins 2>/dev/null | grep jenkins || rpm -qa jenkins 2>/dev/null || find / -name 'jenkins.war' 2>/dev/null | head -1