🇰🇷 한글 설명
Jenkins 2.73.1 및 2.83.1 이전 버전의 원격 API(/queue/item/(ID)/api)에서 권한이 없는 사용자가 대기 중인 작업 정보를 볼 수 있는 취약점이 발견되었습니다. 이로 인해 사용자가 접근 권한이 없는 아이템의 정보가 노출될 수 있습니다. 현재는 사용자가 접근 가능한 작업에 대해서만 API 엔드포인트가 제공되도록 수정되었습니다.
💡 쉬운 설명
젠킨스라는 프로그램에서 권한이 없는 사람이 남들이 실행하려는 작업 목록을 몰래 훔쳐볼 수 있는 문제입니다. 보안 설정을 통해 허락된 사람만 작업 내용을 볼 수 있도록 고쳐졌습니다.
🇺🇸 원문 (English)
The Jenkins 2.73.1 and earlier, 2.83 and earlier remote API at /queue/item/(ID)/api showed information about tasks in the queue (typically builds waiting to start). This included information about tasks that the current user otherwise has no access to, e.g. due to lack of Item/Read permission. This has been fixed, and the API endpoint is now only available for tasks that the current user has access to.
📍 영향받는 시스템
Jenkins 2.73.1 및 2.83.1 이전 버전
⚔️ 공격 벡터
권한이 없는 사용자가 특정 API 엔드포인트(/queue/item/(ID)/api)에 접근하여 정보를 탈취
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
권한이 없는 계정으로 API 호출 시 403 Forbidden 또는 404 Not Found 응답이 오는지 확인
curl -s -I http://<jenkins-url>/queue/item/1/api | grep -i 'HTTP/1.1 403\|404'