🇰🇷 한글 설명
Jenkins 2.132 및 이전 버전, 2.121.1 및 이전 버전의 Plugin.java에서 민감한 정보가 노출되는 취약점이 존재합니다. 공격자는 이를 통해 플러그인 HPI/JPI 파일이 마지막으로 추출된 날짜와 시간을 파악할 수 있으며, 이는 통상적으로 최근 설치 또는 업그레이드 날짜를 의미합니다.
💡 쉬운 설명
해커가 Jenkins에 설치된 플러그인이 언제 마지막으로 업데이트되었는지 날짜 정보를 알아낼 수 있는 문제입니다. 이 정보는 시스템의 운영 상태나 보안 패치 적용 시점을 추측하는 데 악용될 수 있습니다.
🇺🇸 원문 (English)
A exposure of sensitive information vulnerability exists in Jenkins 2.132 and earlier, 2.121.1 and earlier in Plugin.java that allows attackers to determine the date and time when a plugin HPI/JPI file was last extracted, which typically is the date of the most recent installation/upgrade.
📍 영향받는 시스템
Jenkins 2.132 및 이전 버전, 2.121.1 및 이전 버전
⚔️ 공격 벡터
플러그인 파일의 추출 시간을 확인하여 시스템의 설치/업데이트 시점을 파악하는 정보 노출 공격
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Jenkins 버전이 취약한 버전 범위(2.132 이하 또는 2.121.1 이하)에 해당하는지 확인합니다.
curl -s http://<JENKINS_URL>/plugin/api/json | grep -E 'version'