🇰🇷 한글 설명
Jenkins 2.132 및 이전 버전, 2.121.1 및 이전 버전의 User.java에서 구성 파일이 무단으로 수정될 수 있는 취약점이 존재합니다. 공격자가 조작된 로그인 자격 증명을 제공하면 Jenkins가 config.xml 파일을 이동시키게 되며, 이 파일이 없으면 Jenkins가 익명 사용자에게 관리자 권한을 부여하는 레거시 기본 설정으로 돌아가게 됩니다.
💡 쉬운 설명
공격자가 가짜 로그인 정보를 입력하여 시스템의 핵심 설정 파일을 숨길 수 있는 취약점입니다. 설정 파일이 사라지면 누구나 관리자 권한으로 접속할 수 있게 되어 시스템이 위험에 처합니다.
🇺🇸 원문 (English)
A unauthorized modification of configuration vulnerability exists in Jenkins 2.132 and earlier, 2.121.1 and earlier in User.java that allows attackers to provide crafted login credentials that cause Jenkins to move the config.xml file from the Jenkins home directory. If Jenkins is started without this file present, it will revert to the legacy defaults of granting administrator access to anonymous users.
📍 영향받는 시스템
Jenkins 2.132 및 이전 버전, 2.121.1 및 이전 버전
⚔️ 공격 벡터
조작된 로그인 자격 증명을 이용한 구성 파일(config.xml) 이동 공격
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 번호가 나타나면 해당 버전이 설치되어 있음을 의미합니다.
curl -s http://<JENKINS_URL>/jelly/api/json | grep -E '"version":"(2\.[0-1][2-9]\.|2\.1[0-3][0-2])"'