🇰🇷 한글 설명
Jenkins 2.185 및 이전 버전, LTS 2.176.1 및 이전 버전에서 발생하는 경로 탐색 취약점입니다. Job/Configure 권한을 가진 공격자가 의도된 디렉터리 외부의 파일 이름을 지정하여 빌드 실행 시 Jenkins 마스터 서버에 임의의 파일을 작성할 수 있습니다.
💡 쉬운 설명
권한을 가진 사용자가 파일 이름을 조작하여 서버의 엉뚱한 위치에 파일을 저장할 수 있는 보안 약점입니다. 이를 통해 공격자는 서버의 중요한 설정 파일을 바꾸거나 악성 코드를 심을 수 있습니다.
🇺🇸 원문 (English)
A path traversal vulnerability in Jenkins 2.185 and earlier, LTS 2.176.1 and earlier in core/src/main/java/hudson/model/FileParameterValue.java allowed attackers with Job/Configure permission to define a file parameter with a file name outside the intended directory, resulting in an arbitrary file write on the Jenkins master when scheduling a build.
📍 영향받는 시스템
Jenkins 2.185 및 이전 버전, LTS 2.176.1 및 이전 버전
⚔️ 공격 벡터
Job/Configure 권한을 이용한 FileParameterValue 클래스의 경로 탐색(Path Traversal) 공격
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
Jenkins 관리 페이지의 'About Jenkins'에서 버전이 취약한 범위에 해당하는지 확인하십시오.
curl -s http://<jenkins-server>/jnlpJars/jenkins-cli.jar | java -jar - -version 2>/dev/null || echo 'Check Jenkins version via UI or API'