🇰🇷 한글 설명
Jenkins의 Distributed Fork 플러그인 1.5.0 이하 버전에서 권한 검사 미흡 취약점이 발견되었습니다. Overall/Read 권한을 가진 사용자가 dist-fork CLI 명령을 통해 연결된 모든 노드에서 임의의 셸 명령을 실행할 수 있습니다.
💡 쉬운 설명
읽기 권한만 있는 사용자도 서버의 모든 연결된 컴퓨터에 명령을 내려 마음대로 조종할 수 있는 보안 구멍이 발견되었습니다. 이를 통해 해커가 시스템 전체를 장악할 위험이 있습니다.
🇺🇸 원문 (English)
It was found that there were no permission checks performed in the Distributed Fork plugin before and including 1.5.0 for Jenkins that provides the dist-fork CLI command beyond the basic check for Overall/Read permission, allowing anyone with that permission to run arbitrary shell commands on all connected nodes.
📍 영향받는 시스템
Jenkins Distributed Fork plugin version 1.5.0 and below
⚔️ 공격 벡터
Overall/Read 권한을 가진 사용자가 dist-fork CLI 명령을 사용하여 원격 노드에 악성 명령 실행
🛡️ 대응 방법
Distributed Fork 플러그인을 최신 버전으로 업데이트하거나 사용하지 않는 경우 삭제하십시오.
🔧 검증 코드
출력된 버전 번호가 1.5.0보다 높은지 확인하여 취약 여부를 판단합니다.
curl -s http://<JENKINS_URL>/plugin/dist-fork/api/json | grep -E '"version"' | sed 's/.*"version":"\([^\"]*\)".*/\1/'