🔍 CVE-2015-5324

5.0
CVSS Score
MEDIUM
2015-11-25
2026-06-17 00:28
✅ 완료

🇰🇷 한글 설명

Jenkins 큐 관리 API(queue/api) 엔드포인트가 적절한 인증 검증 없이 외부에 노출되어 공격자가 민감한 빌드 정보, 작업 큐, 시스템 구성 정보를 탈취할 수 있는 정보 공개 취약점입니다.

💡 쉬운 설명

Jenkins의 특정 API 부분에 암호 없이 접근 가능합니다. 공격자가 빌드 정보와 시스템 설정을 볼 수 있습니다.

🇺🇸 원문 (English)

Jenkins before 1.638 and LTS before 1.625.2 allow remote attackers to obtain sensitive information via a direct request to queue/api.

📍 영향받는 시스템

Jenkins 1.638 이전 모든 버전, Jenkins LTS 1.625.2 이전 버전

⚔️ 공격 벡터

http://[Jenkins_IP]:8080/queue/api 에 직접 HTTP 요청으로 JSON 응답 획득

🛡️ 대응 방법

Jenkins를 1.638 이상 또는 LTS 1.625.2 이상으로 업그레이드하고, 큐 API 접근을 인증된 사용자로만 제한

🔧 검증 코드

반환된 X-Jenkins 헤더의 버전이 1.638 미만이거나 LTS 버전이 1.625.2 미만이면 취약점 존재. 버전이 표시되지 않으면 Jenkins가 실행 중이지 않거나 다른 포트 사용 중

Shell / Script
curl -sI http://localhost:8080/ 2>/dev/null | grep -i jenkins

📊 CVSS Vector String

CVSS Vector
AV:N/AC:L/Au:N/C:P/I:N/A:N

💻 영향받는 소프트웨어

Jenkins