🇰🇷 한글 설명
Jenkins의 특정 버전에서 주기적 프로세스에 대한 권한 검사가 미흡하여 발생하는 취약점입니다. 읽기 권한만 있는 사용자도 /workspaceCleanup 및 /fingerprintCleanup URL을 호출하여 백그라운드 프로세스를 강제로 실행할 수 있습니다. 이로 인해 Jenkins 마스터 및 에이전트에 과도한 부하가 발생할 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 시스템의 청소 작업을 강제로 실행시켜 서버에 무리를 줄 수 있는 문제입니다. 이로 인해 서버가 느려지거나 서비스가 중단될 위험이 있습니다.
🇺🇸 원문 (English)
Jenkins before versions 2.44, 2.32.2 is vulnerable to an insufficient permission check for periodic processes (SECURITY-389). The URLs /workspaceCleanup and /fingerprintCleanup did not perform permission checks, allowing users with read access to Jenkins to trigger these background processes (that are otherwise performed daily), possibly causing additional load on Jenkins master and agents.
📍 영향받는 시스템
Jenkins versions before 2.44 and 2.32.2
⚔️ 공격 벡터
읽기 권한을 가진 사용자가 특정 URL(/workspaceCleanup 또는 /fingerprintCleanup)에 HTTP 요청을 전송
🛡️ 대응 방법
Jenkins를 2.44 또는 2.32.2 이상의 최신 버전으로 업데이트
🔧 검증 코드
Jenkins 관리 페이지 또는 API를 통해 현재 설치된 버전이 2.44 또는 2.32.2 미만인지 확인합니다.
curl -s http://<JENKINS_URL>/jnlpJars/jenkins-cli.jar | grep -i 'version' || echo 'Check Jenkins version via UI or API'