🇰🇷 한글 설명
Jenkins 1.583 이전과 LTS 1.565.3 이전 버전에서 플러그인 다운로드에 대한 접근 제어가 제대로 적용되지 않아, Overall/READ 권한을 가진 인증된 원격 사용자가 플러그인 소스코드를 다운로드하여 민감한 정보를 탈취할 수 있는 취약점입니다.
💡 쉬운 설명
Jenkins에서 일반 사용자가 플러그인 코드를 제한 없이 다운로드할 수 있는 보안 결함입니다. 로그인한 사용자라면 누구나 플러그인에 숨겨진 API 키나 비밀번호 같은 민감 정보를 볼 수 있습니다.
🇺🇸 원문 (English)
Jenkins before 1.583 and LTS before 1.565.3 does not properly prevent downloading of plugins, which allows remote authenticated users with the Overall/READ permission to obtain sensitive information by reading the plugin code.
📍 영향받는 시스템
Jenkins < 1.583, Jenkins LTS < 1.565.3
⚔️ 공격 벡터
Overall/READ 권한을 가진 인증 사용자가 플러그인 다운로드 엔드포인트에 직접 접근하여 플러그인 JAR 파일 다운로드 및 역컴파일
🛡️ 대응 방법
Jenkins를 1.583 이상 또는 LTS 1.565.3 이상으로 즉시 업그레이드
🔧 검증 코드
설치된 Jenkins 버전이 1.583 이상(또는 LTS 1.565.3 이상)이면 패치된 상태입니다. 그 이하 버전이면 업그레이드 필요합니다.
dpkg -l jenkins 2>/dev/null | awk '/jenkins/{print $3}' || rpm -q jenkins 2>/dev/null