🇰🇷 한글 설명
Jenkins Pipeline: Build Step 플러그인이 빌드 실행 권한을 확인하지 않아 권한이 없는 사용자가 Jenkins의 다른 프로젝트 빌드를 임의로 트리거할 수 있는 취약점입니다. 이를 통해 권한 없는 파이프라인 실행이 가능하여 보안 경계를 우회할 수 있습니다.
💡 쉬운 설명
Jenkins의 빌드 파이프라인 기능에서 권한 체크가 없어서 아무나 다른 프로젝트의 빌드를 시작할 수 있게 됩니다. 마치 직원의 출입증 없이 건물의 모든 방에 들어갈 수 있는 것과 같은 상황입니다.
🇺🇸 원문 (English)
Builds in Jenkins are associated with an authentication that controls the permissions that the build has to interact with other elements in Jenkins. The Pipeline: Build Step Plugin did not check the build authentication it was running as and allowed triggering any other project in Jenkins.
📍 영향받는 시스템
Jenkins Pipeline: Build Step Plugin 버전 2.6 이전
⚔️ 공격 벡터
권한이 없는 사용자가 Pipeline: Build Step 플러그인의 빌드 트리거 기능을 통해 임의의 Jenkins 프로젝트 빌드를 실행
🛡️ 대응 방법
Jenkins Pipeline: Build Step 플러그인을 2.6 이상으로 업데이트
🔧 검증 코드
Plugin-Version 값이 2.6 이상이면 안전, 이하이거나 'Not installed'이면 취약함
cat /var/lib/jenkins/plugins/pipeline-build-step/META-INF/MANIFEST.MF 2>/dev/null | grep Plugin-Version || echo 'Not installed'