🇰🇷 한글 설명
Authorize Project 플러그인을 사용하는 Jenkins 인스턴스에서 빌드와 관련된 인증이 일부 에이전트의 Computer/Build 권한을 결여할 수 있습니다. Pipeline: Nodes and Processes 플러그인 2.17 및 이전 버전의 잘못된 권한 확인으로 인해 이러한 권한 부족에도 불구하고 에이전트에서 Pipeline `node` 블록이 실행될 수 있습니다.
💡 쉬운 설명
Jenkins에서 특정 권한이 없는 사용자라도 특정 플러그인의 허점을 이용해 다른 컴퓨터(에이전트)에서 명령을 실행할 수 있는 보안 취약점입니다. 권한 검사가 제대로 이루어지지 않아 발생하는 문제입니다.
🇺🇸 원문 (English)
On Jenkins instances with Authorize Project plugin, the authentication associated with a build may lack the Computer/Build permission on some agents. This did not prevent the execution of Pipeline `node` blocks on those agents due to incorrect permissions checks in Pipeline: Nodes and Processes plugin 2.17 and earlier.
📍 영향받는 시스템
Jenkins with Authorize Project plugin and Pipeline: Nodes and Processes plugin version 2.17 or earlier
⚔️ 공격 벡터
권한이 제한된 빌드 프로세스가 Pipeline `node` 블록을 사용하여 권한이 없는 에이전트에서 코드를 실행하도록 유도
🛡️ 대응 방법
Pipeline: Nodes and Processes 플러그인을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 플러그인 이름과 2.17 이하의 버전 번호가 나타나면 취약한 상태입니다.
jenkins-plugin-manager --list | grep 'pipeline-nodes-and-processes' | grep -E '2.1[0-7]|2.0\.'