🇰🇷 한글 설명
Jenkins 2.145 및 이전 버전, LTS 2.138.1 및 이전 버전의 Stapler 웹 프레임워크에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 공격자는 이를 통해 Jenkins 내의 임의의 뷰를 사용하여 의도되지 않은 내부 객체의 toString() 표현식과 같은 민감한 정보를 노출시킬 수 있습니다.
💡 쉬운 설명
해커가 웹사이트의 주소를 교묘하게 조작하여 원래는 볼 수 없어야 하는 시스템 내부의 비밀 정보를 훔쳐볼 수 있는 문제입니다. 이를 통해 시스템의 중요한 설정이나 데이터가 외부로 유출될 위험이 있습니다.
🇺🇸 원문 (English)
A path traversal vulnerability exists in the Stapler web framework used by Jenkins 2.145 and earlier, LTS 2.138.1 and earlier in core/src/main/java/org/kohsuke/stapler/Facet.java, groovy/src/main/java/org/kohsuke/stapler/jelly/groovy/GroovyFacet.java, jelly/src/main/java/org/kohsuke/stapler/jelly/JellyFacet.java, jruby/src/main/java/org/kohsuke/stapler/jelly/jruby/JRubyFacet.java, jsp/src/main/java/org/kohsuke/stapler/jsp/JSPFacet.java that allows attackers to render routable objects using any view in Jenkins, exposing internal information about those objects not intended to be viewed, such as their toString() representation.
📍 영향받는 시스템
Jenkins 2.145 및 이전 버전, LTS 2.138.1 및 이전 버전
⚔️ 공격 벡터
Stapler 프레임워크의 경로 탐색 취약점을 이용한 조작된 URL 요청
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 취약한 버전 범위(2.145 이하 또는 LTS 2.138.1 이하)에 해당하는지 확인합니다.
curl -s http://<jenkins-url>/jelly/api/version | grep -E 'version'