🇰🇷 한글 설명
Jenkins의 agent-to-master 보안 서브시스템에서 파이프라인 메타데이터 파일에 대한 블랙리스트 처리가 부적절하게 이루어지는 취약점입니다. 이로 인해 악의적인 에이전트가 메타데이터 파일을 임의로 작성할 수 있는 보안 결함(SECURITY-358)이 존재합니다.
💡 쉬운 설명
Jenkins 서버에 연결된 작업용 컴퓨터(에이전트)가 서버의 중요한 설정 파일을 몰래 수정할 수 있는 문제입니다. 공격자가 이 권한을 이용하면 서버의 보안을 무너뜨릴 수 있습니다.
🇺🇸 원문 (English)
jenkins before versions 2.44, 2.32.2 is vulnerable to an improper blacklisting of the Pipeline metadata files in the agent-to-master security subsystem. This could allow metadata files to be written to by malicious agents (SECURITY-358).
📍 영향받는 시스템
Jenkins versions before 2.44 and 2.32.2
⚔️ 공격 벡터
악의적인 설정을 가진 에이전트가 Jenkins 마스터 서버로 메타데이터 파일을 전송하여 쓰기 권한을 악용함
🛡️ 대응 방법
Jenkins를 최신 버전(2.44 또는 2.32.2 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.44 또는 2.32.2보다 낮은지 확인하여 취약 여부를 판단합니다.
curl -s http://localhost:8080/jelly/api/json | grep -E '"version":"(2\.[0-9]+)\.[0-9]+"'