🇰🇷 한글 설명
Jenkins 2.3 이전 버전에서 권한 확인 부재로 인해 원격 인증 사용자가 업데이트 사이트 메타데이터를 무단으로 업데이트할 수 있는 취약점입니다. DNS 캐시 포이징과 결합하면 서비스 거부 공격으로 악용될 수 있습니다.
💡 쉬운 설명
Jenkins 프로그램에서 업데이트를 누가 할 수 있는지 확인하지 않습니다. 악의적인 사용자가 이를 이용해 시스템을 불안정하게 만들 수 있습니다.
🇺🇸 원문 (English)
Jenkins before 2.3 and LTS before 1.651.2 allows remote authenticated users to trigger updating of update site metadata by leveraging a missing permissions check. NOTE: this issue can be combined with DNS cache poisoning to cause a denial of service (service disruption).
📍 영향받는 시스템
Jenkins < 2.3, Jenkins LTS < 1.651.2
⚔️ 공격 벡터
원격 인증 사용자가 /updateCenter/ 엔드포인트에 접근하여 업데이트 메타데이터 강제 갱신
🛡️ 대응 방법
Jenkins를 2.3 이상 또는 LTS 1.651.2 이상으로 업그레이드
🔧 검증 코드
출력된 Jenkins 버전이 2.3 이상이면 패치됨, 2.3 미만이면 취약함
curl -s http://localhost:8080/cli/version 2>/dev/null || jenkins --version 2>/dev/null