🇰🇷 한글 설명
Jenkins 2.145 및 이전 버전과 Stapler 프레임워크에서 정보 노출 취약점이 발견되었습니다. 관리자 권한을 가진 공격자나 로컬 파일 시스템에 접근 가능한 사용자가 폼 제출 처리 실패 시 사용자가 입력한 자격 증명을 획득할 수 있습니다.
💡 쉬운 설명
로그인이나 설정 시 입력한 비밀번호 같은 중요한 정보가 오류가 발생했을 때 화면이나 로그에 그대로 노출될 수 있는 문제입니다. 관리자 권한을 가진 사람이 이 정보를 가로채서 다른 계정을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
An information exposure vulnerability exists in Jenkins 2.145 and earlier, LTS 2.138.1 and earlier, and the Stapler framework used by these releases, in core/src/main/java/org/kohsuke/stapler/RequestImpl.java, core/src/main/java/hudson/model/Descriptor.java that allows attackers with Overall/Administer permission or access to the local file system to obtain credentials entered by users if the form submission could not be successfully processed.
📍 영향받는 시스템
Jenkins 2.145 및 이전 버전, LTS 2.138.1 및 이전 버전
⚔️ 공격 벡터
관리자 권한을 이용하거나 로컬 파일 시스템에 접근하여 폼 제출 오류 시 노출되는 데이터를 탈취
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 Jenkins 2.145 또는 LTS 2.138.1보다 높은지 확인하십시오.
curl -s http://<JENKINS_URL>/jelly/api/json | grep -E 'version' | sed 's/.*"version":"\\([^\\