🇰🇷 한글 설명
Jenkins 1.600 이전 버전의 디렉토리 순회 취약점으로, 인증된 사용자가 빌드 아티팩트 처리 중 심볼릭 링크를 통해 임의의 파일을 읽을 수 있습니다. 이는 시스템 민감 정보 유출로 이어질 수 있습니다.
💡 쉬운 설명
Jenkins에서 권한이 있는 사용자가 빌드 파일 경로를 조작하여 시스템의 다른 파일들을 읽을 수 있는 문제입니다. 심볼릭 링크라는 바로가기를 악용해 접근 제한된 파일에 도달할 수 있습니다.
🇺🇸 원문 (English)
Directory traversal vulnerability in Jenkins before 1.600 and LTS before 1.596.1 allows remote authenticated users with certain permissions to read arbitrary files via a symlink, related to building artifacts.
📍 영향받는 시스템
Jenkins < 1.600, Jenkins LTS < 1.596.1
⚔️ 공격 벡터
인증된 빌드 권한을 가진 사용자가 아티팩트 디렉토리의 심볼릭 링크를 조작하여 임의 파일 접근
🛡️ 대응 방법
Jenkins를 1.600 이상(또는 LTS 1.596.1 이상)으로 업그레이드
🔧 검증 코드
Jenkins 마스터 서버의 API 응답에서 버전을 확인합니다. 결과가 1.600 미만이면 취약함.
curl -s http://localhost:8080/api/json 2>/dev/null | grep -o '"version":"[^"]*"'