🇰🇷 한글 설명
Jenkins의 sidepanel 위젯에서 인증 없이 민감한 정보가 노출되는 취약점입니다. 원격 공격자가 CLI 명령어 개요와 도움말 페이지에 직접 접근하여 시스템 정보를 획득할 수 있습니다.
💡 쉬운 설명
Jenkins 서버의 도움말 페이지가 누구나 접근 가능하여 민감한 설정 정보가 유출될 수 있습니다. 마치 건물의 보안 체계를 누구나 볼 수 있게 공개하는 것과 같은 문제입니다.
🇺🇸 원문 (English)
The sidepanel widgets in the CLI command overview and help pages in Jenkins before 1.638 and LTS before 1.625.2 allow remote attackers to obtain sensitive information via a direct request to the pages.
📍 영향받는 시스템
Jenkins 1.638 이전, Jenkins LTS 1.625.2 이전
⚔️ 공격 벡터
Jenkins 서버의 CLI 명령어 개요 및 도움말 페이지에 인증 없이 HTTP 직접 요청을 전송하여 정보 수집
🛡️ 대응 방법
Jenkins를 1.638 이상 또는 LTS 1.625.2 이상으로 즉시 업그레이드
🔧 검증 코드
반환된 버전이 1.638 이상이거나 LTS 1.625.2 이상이면 패치 완료, 그 이하이면 취약 상태
curl -s http://localhost:8080/api/json 2>/dev/null | grep -o '"version":"[^"]*"'