🇰🇷 한글 설명
Jenkins 2.73.1 및 2.83 이전 버전의 원격 API(/job/(job-name)/api)에서 상위 및 하위 프로젝트 정보를 노출하는 취약점이 발견되었습니다. 이로 인해 사용자가 Item/Read 권한이 없는 프로젝트의 작업 정보까지 확인할 수 있는 정보 노출 문제가 발생했습니다.
💡 쉬운 설명
권한이 없는 사용자가 Jenkins의 API를 통해 볼 수 없어야 할 다른 프로젝트의 정보를 몰래 훔쳐볼 수 있는 문제입니다. 보안 설정이 제대로 작동하지 않아 프로젝트 간의 연결 관계가 노출될 수 있습니다.
🇺🇸 원문 (English)
The Jenkins 2.73.1 and earlier, 2.83 and earlier remote API at /job/(job-name)/api contained information about upstream and downstream projects. This included information about tasks that the current user otherwise has no access to, e.g. due to lack of Item/Read permission. This has been fixed, and the API now only lists upstream and downstream projects that the current user has access to.
📍 영향받는 시스템
Jenkins 2.73.1 및 이전 버전, 2.83 및 이전 버전
⚔️ 공격 벡터
권한이 낮은 사용자가 특정 작업의 API 경로에 접근하여 상/하위 프로젝트 정보를 조회하는 방식
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
API 응답 결과에 권한이 없는 프로젝트의 이름이 포함되어 있다면 취약한 상태입니다.
curl -s http://<jenkins-url>/job/<job-name>/api/json | grep -E 'upstream|downstream'