🇰🇷 한글 설명
Jenkins 2.3 이전 버전과 LTS 1.651.2 이전 버전의 접근 제어 결함으로, 확장된 읽기 권한이 있는 인증된 원격 사용자가 작업 구성 파일을 직접 읽어 저장된 비밀번호 정보를 탈취할 수 있습니다. Jenkins 구성에 포함된 민감한 자격증명 정보가 불충분한 권한 검증으로 노출되는 취약점입니다.
💡 쉬운 설명
Jenkins 시스템에서 일부 권한이 있는 사용자가 프로젝트 설정 파일을 읽어서 저장된 비밀번호를 盗み見 할 수 있습니다. 권한 검증이 제대로 작동하지 않아 민감한 정보 유출이 발생합니다.
🇺🇸 원문 (English)
Jenkins before 2.3 and LTS before 1.651.2 allow remote authenticated users with extended read access to obtain sensitive password information by reading a job configuration.
📍 영향받는 시스템
Jenkins 2.3 미만, Jenkins LTS 1.651.2 미만
⚔️ 공격 벡터
확장된 읽기 권한이 있는 인증된 사용자가 /jobs/<jobname>/config.xml 등 설정 파일에 직접 접근하여 암호화되지 않은 자격증명 정보 추출
🛡️ 대응 방법
Jenkins를 2.3 이상 또는 LTS 1.651.2 이상으로 업그레이드
🔧 검증 코드
반환된 version 값이 2.3 이상(또는 LTS의 경우 1.651.2 이상)이면 패치됨. Jenkins에 접근할 수 없으면 설치 상태 확인 필요.
curl -s http://localhost:8080/api/json 2>/dev/null | grep -o '"version":"[^"]*"' || echo 'Jenkins not accessible'