🇰🇷 한글 설명
Jenkins 2.3 이전 버전과 LTS 1.651.2 이전 버전의 /api/xml 엔드포인트가 마스터 노드에 대한 읽기 권한을 가진 인증된 사용자에게 전역 설정에 대한 민감한 정보를 노출하는 정보 공개 취약점입니다. 내부 접근자가 시스템 설정 및 보안 정보를 탈취할 수 있습니다.
💡 쉬운 설명
Jenkins의 API 페이지가 회사 설정 정보를 너무 많이 노출하는 문제입니다. 직원 권한으로 접근한 사람이 비밀 설정을 볼 수 있게 됩니다.
🇺🇸 원문 (English)
The API URL computer/(master)/api/xml in Jenkins before 2.3 and LTS before 1.651.2 allows remote authenticated users with extended read permission for the master node to obtain sensitive information about the global configuration via unspecified vectors.
📍 영향받는 시스템
Jenkins 2.3 이전 모든 버전 및 LTS 1.651.2 이전 모든 버전
⚔️ 공격 벡터
마스터 노드 읽기 권한을 가진 인증된 사용자가 /api/xml 엔드포인트에 HTTP GET 요청으로 접근하여 XML 형식의 전역 설정 정보 탈취
🛡️ 대응 방법
Jenkins를 2.3 이상 또는 LTS 1.651.2 이상으로 즉시 업그레이드 수행
🔧 검증 코드
출력된 버전이 2.3 미만이거나 LTS 1.651.2 미만이면 취약하며, 미출력되면 Jenkins 패키지 미설치 상태
rpm -q jenkins 2>/dev/null || dpkg -l 2>/dev/null | grep jenkins | awk '{print $3}'