🇰🇷 한글 설명
Jenkins 2.73.1 및 2.83 이전 버전의 원격 API(/computer/(agent-name)/api)에서 권한이 없는 사용자가 현재 에이전트에서 실행 중인 작업 정보를 볼 수 있는 취약점이 발견되었습니다. 이로 인해 Item/Read 권한이 없는 사용자도 실행 중인 빌드 등의 민감한 정보를 확인할 수 있었습니다. 현재는 API가 접근 가능한 작업 정보만 표시하도록 수정되었습니다.
💡 쉬운 설명
Jenkins라는 프로그램에서 권한이 없는 사람이 남들이 무엇을 하고 있는지 몰래 훔쳐볼 수 있는 문제입니다. 원래는 허락된 사람만 볼 수 있는 작업 목록이 보안 허점 때문에 노출된 것입니다.
🇺🇸 원문 (English)
The remote API in Jenkins 2.73.1 and earlier, 2.83 and earlier at /computer/(agent-name)/api showed information about tasks (typically builds) currently running on that agent. This included information about tasks that the current user otherwise has no access to, e.g. due to lack of Item/Read permission. This has been fixed, and the API now only shows information about accessible tasks.
📍 영향받는 시스템
Jenkins 2.73.1 및 이전 버전, 2.83 및 이전 버전
⚔️ 공격 벡터
권한이 낮은 사용자가 특정 API 엔드포인트(/computer/(agent-name)/api)에 접근하여 정보를 조회
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
권한이 없는 계정으로 API 호출 시, 접근 불가능한 빌드 정보가 포함되어 출력되는지 확인
curl -s -u 'user:password' http://jenkins-server/computer/agent-name/api | grep -q 'build'