🇰🇷 한글 설명
Jenkins 2.44 및 2.32.2 미만 버전에서 내부 API를 통한 정보 노출 취약점이 발견되었습니다. 익명 사용자가 UnprotectedRootAction을 통해 접근 권한이 없는 아이템 이름을 조회할 수 있는 보안 결함(SECURITY-380)입니다.
💡 쉬운 설명
로그인하지 않은 외부인이 Jenkins 내부의 프로젝트 이름을 몰래 훔쳐볼 수 있는 문제입니다. 원래는 권한이 있는 사람만 볼 수 있는 목록이 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Jenkins before versions 2.44, 2.32.2 is vulnerable to an information exposure in the internal API that allows access to item names that should not be visible (SECURITY-380). This only affects anonymous users (other users legitimately have access) that were able to get a list of items via an UnprotectedRootAction.
📍 영향받는 시스템
Jenkins versions before 2.44 and 2.32.2
⚔️ 공격 벡터
익명 사용자가 보호되지 않은 내부 API 경로(UnprotectedRootAction)에 접근하여 아이템 목록을 요청함
🛡️ 대응 방법
Jenkins를 최신 버전(2.44 또는 2.32.2 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 실행 시 API 응답에 아이템 정보가 포함되어 나타나면 취약할 가능성이 있으므로 버전 확인이 필요합니다.
curl -s http://<JENKINS_URL>/api/json | grep -q '"name"' && echo 'API Accessible' || echo 'API Not Accessible'