🇰🇷 한글 설명
Jenkins 2.145 및 이전 버전, LTS 2.138.1 및 이전 버전에서 경로 탐색 취약점이 발견되었습니다. Job/Configure 권한을 가진 공격자가 파일 매개변수의 이름을 의도된 디렉터리 외부로 설정하여, 빌드 실행 시 Jenkins 마스터 서버에 임의의 파일을 작성할 수 있습니다.
💡 쉬운 설명
Jenkins 설정 권한이 있는 사용자가 파일 이름을 조작하여 서버의 중요한 위치에 몰래 파일을 저장할 수 있는 보안 약점입니다. 이를 통해 공격자는 서버의 설정을 바꾸거나 악성 코드를 심을 수 있습니다.
🇺🇸 원문 (English)
A path traversal vulnerability exists in Jenkins 2.145 and earlier, LTS 2.138.1 and earlier in core/src/main/java/hudson/model/FileParameterValue.java that allows attackers with Job/Configure permission to define a file parameter with a file name outside the intended directory, resulting in an arbitrary file write on the Jenkins master when scheduling a build.
📍 영향받는 시스템
Jenkins 2.145 및 이전 버전, LTS 2.138.1 및 이전 버전
⚔️ 공격 벡터
Job/Configure 권한을 이용한 파일 매개변수(FileParameterValue)의 경로 탐색(Path Traversal) 공격
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약한 버전 범위(2.145 이하 또는 LTS 2.138.1 이하)에 해당하는지 확인합니다.
jenkins --version 2>/dev/null || curl -s http://localhost:8080/jelly/api/json | grep -oE '"version":"[^"]+"'