🔍 CVE-2017-1000084

6.5
CVSS Score
MEDIUM
2017-10-05
2026-06-17 00:58
✅ 완료

🇰🇷 한글 설명

Jenkins의 Parameterized Trigger Plugin이 빌드 권한을 제대로 검증하지 않아, 권한이 없는 사용자도 다른 프로젝트의 빌드를 임의로 트리거할 수 있는 취약점입니다. 이를 통해 인가되지 않은 빌드 실행으로 시스템 파괴나 민감 정보 유출이 가능합니다.

💡 쉬운 설명

Jenkins라는 자동화 도구에서 특정 작업을 자동으로 실행시켜주는 플러그인이 허락 없이 다른 작업들을 실행할 수 있게 해주는 문제입니다. 권한이 없는 사람도 중요한 작업을 시작할 수 있게 되는 것과 같습니다.

🇺🇸 원문 (English)

Parameterized Trigger Plugin fails to check Item/Build permission: The Parameterized Trigger Plugin did not check the build authentication it was running as and allowed triggering any other project in Jenkins.

📍 영향받는 시스템

Jenkins Parameterized Trigger Plugin 1.5.1 이전 버전

⚔️ 공격 벡터

권한 없는 사용자가 플러그인을 통해 빌드 파라미터를 조작하여 권한 제한이 없는 다른 프로젝트 빌드 실행

🛡️ 대응 방법

Parameterized Trigger Plugin 1.5.2 이상으로 업그레이드하고 Jenkins 권한 제어 정책(ACL) 검토

🔧 검증 코드

명령 실행 결과에서 parameterized-trigger 디렉토리나 파일이 나타나면 플러그인 버전을 확인하여 1.5.1 이하인 경우 취약함

Shell / Script 
find /var/lib/jenkins/plugins -name '*parameterized-trigger*' -exec grep -l 'version\|Version' {} \; 2>/dev/null || ls -la /var/lib/jenkins/plugins/parameterized-trigger* 2>/dev/null

📊 CVSS Vector String

CVSS Vector 
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

💻 영향받는 소프트웨어

Jenkins