🇰🇷 한글 설명
Jenkins 2.153 및 이전 버전, LTS 2.138.3 및 이전 버전의 DirectoryBrowserSupport.java에서 정보 노출 취약점이 발견되었습니다. 빌드 출력 내용을 제어할 수 있는 공격자는 워크스페이스 브라우저를 통해 빌드 종료 후에도 에이전트의 파일 시스템을 탐색할 수 있습니다.
💡 쉬운 설명
빌드 결과물을 조작할 수 있는 공격자가 빌드가 끝난 뒤에도 서버의 다른 파일들을 몰래 훔쳐볼 수 있는 문제입니다. 이를 통해 서버 내의 중요한 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
An information exposure vulnerability exists in Jenkins 2.153 and earlier, LTS 2.138.3 and earlier in DirectoryBrowserSupport.java that allows attackers with the ability to control build output to browse the file system on agents running builds beyond the duration of the build using the workspace browser.
📍 영향받는 시스템
Jenkins 2.153 이하 버전 및 LTS 2.138.3 이하 버전
⚔️ 공격 벡터
빌드 출력(Build Output)을 제어하여 워크스페이스 브라우저를 통해 파일 시스템 탐색
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력된 Jenkins 버전이 취약한 버전 범위(2.153 이하 또는 LTS 2.138.3 이하)에 해당하는지 확인
curl -s http://<JENKINS_URL>/jelly/api/json | grep -E 'version' || echo 'Check Jenkins version via UI or CLI'