🇰🇷 한글 설명
Jenkins Favorite Plugin 2.1.4 및 이전 버전에서 즐겨찾기 상태 변경 시 권한 검사를 수행하지 않는 취약점입니다. 이로 인해 인증된 모든 사용자가 다른 사용자의 즐겨찾기를 무단으로 변경할 수 있습니다.
💡 쉬운 설명
Jenkins 플러그인이 누가 즐겨찾기를 변경하는지 확인하지 않습니다. 따라서 일반 사용자가 관리자나 다른 사용자의 즐겨찾기를 마음대로 수정할 수 있습니다.
🇺🇸 원문 (English)
Jenkins Favorite Plugin 2.1.4 and older does not perform permission checks when changing favorite status, allowing any user to set any other user's favorites
📍 영향받는 시스템
Jenkins Favorite Plugin 버전 2.1.4 이하
⚔️ 공격 벡터
인증된 Jenkins 사용자가 API 호출 또는 UI를 통해 다른 사용자의 즐겨찾기를 변경하도록 조작된 요청 전송
🛡️ 대응 방법
Jenkins Favorite Plugin을 2.1.5 이상으로 업그레이드하거나 플러그인 비활성화
🔧 검증 코드
favorite 플러그인 파일이 존재하면 반환되고, 버전 정보는 파일명 또는 메타데이터에서 확인 가능합니다. 버전이 2.1.5 미만이면 취약합니다.
find /var/lib/jenkins/plugins -iname '*favorite*' 2>/dev/null | xargs ls -la