🇰🇷 한글 설명
Jenkins 2.115 및 이전 버전, LTS 2.107.1 및 이전 버전에서 민감한 정보 노출 취약점이 발견되었습니다. 공격자가 CLI 명령을 전송하여 특정 이름의 에이전트나 뷰의 존재 여부를 권한 없이 확인할 수 있습니다.
💡 쉬운 설명
해커가 Jenkins 시스템에 몰래 질문을 던져서, 특정 이름의 작업 도구나 화면이 실제로 존재하는지 알아낼 수 있는 문제입니다. 이를 통해 시스템 내부 구조에 대한 정보를 수집할 수 있습니다.
🇺🇸 원문 (English)
An exposure of sensitive information vulnerability exists in Jenkins 2.115 and older, LTS 2.107.1 and older, in CLICommand.java and ViewOptionHandler.java that allows unauthorized attackers to confirm the existence of agents or views with an attacker-specified name by sending a CLI command to Jenkins.
📍 영향받는 시스템
Jenkins 2.115 이하 버전, LTS 2.107.1 이하 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 Jenkins CLI 명령을 전송하여 에이전트 또는 뷰의 존재 여부 확인
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 취약한 버전 범위(2.115 이하 또는 LTS 2.107.1 이하)에 해당하는지 확인합니다.
curl -s http://<jenkins-url>/jelly/api/json | grep -E 'version'