🇰🇷 한글 설명
Jenkins 1.638 이전 버전과 LTS 1.625.2 이전 버전에서 API 토큰에 대한 접근 제어가 부족하여 원격 관리자가 다른 사용자의 API 토큰을 조회할 수 있습니다. 이를 통해 공격자는 대상 사용자의 권한으로 임의의 스크립트를 실행하고 권한을 상승시킬 수 있습니다.
💡 쉬운 설명
Jenkins의 API 인증 토큰이 충분히 보호되지 않아 관리자가 다른 사용자의 토큰을 볼 수 있습니다. 이 토큰을 악용하면 그 사용자 권한으로 모든 작업을 할 수 있게 됩니다.
🇺🇸 원문 (English)
Jenkins before 1.638 and LTS before 1.625.2 do not properly restrict access to API tokens which might allow remote administrators to gain privileges and run scripts by using an API token of another user.
📍 영향받는 시스템
Jenkins 1.638 이전 모든 버전, Jenkins LTS 1.625.2 이전 모든 버전
⚔️ 공격 벡터
원격 관리자가 API 토큰 접근 제어 부재를 악용하여 다른 사용자의 토큰을 획득하고 권한 상승 및 임의 스크립트 실행
🛡️ 대응 방법
Jenkins를 1.638 이상(또는 LTS 1.625.2 이상)으로 긴급 업그레이드
🔧 검증 코드
출력된 버전이 1.638 미만이거나 LTS 1.625.2 미만이면 취약 상태이며 즉시 업그레이드 필요
jenkins --version 2>/dev/null || grep -i version /var/lib/jenkins/config.xml 2>/dev/null || ps aux | grep jenkins