🇰🇷 한글 설명
Jenkins 2.132 및 이전 버전, 2.121.1 및 이전 버전의 SlaveComputer.java에서 부적절한 권한 부여 취약점이 존재합니다. 이 취약점을 통해 Overall/Read 권한을 가진 공격자가 에이전트 실행을 시작하거나 진행 중인 에이전트 실행을 중단할 수 있습니다.
💡 쉬운 설명
Jenkins 시스템에 읽기 권한만 있는 사용자라도 허가되지 않은 작업을 수행할 수 있는 보안 결함입니다. 공격자가 시스템의 에이전트(작업 수행 도구)를 마음대로 켜거나 끌 수 있어 서비스 방해가 가능합니다.
🇺🇸 원문 (English)
A Improper authorization vulnerability exists in Jenkins 2.132 and earlier, 2.121.1 and earlier in SlaveComputer.java that allows attackers with Overall/Read permission to initiate agent launches, and abort in-progress agent launches.
📍 영향받는 시스템
Jenkins 2.132 및 이전 버전, 2.121.1 및 이전 버전
⚔️ 공격 벡터
Overall/Read 권한을 가진 내부 사용자 또는 탈취된 계정을 통한 API/UI 호출
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 취약한 버전 범위(2.132 이하 또는 2.121.1 이하)에 해당하는지 확인합니다.
curl -s http://localhost:8080/jelly/api/json | grep -oE '"version":"[^"]+"'