🇰🇷 한글 설명
Jenkins 2.587 이하 및 LTS 2.580.1 이하 버전은 구형 에이전트 설정의 실행 명령을 관리자 승인 여부를 확인하지 않은 채 Command Agent Launcher Plugin의 런처로 변환합니다. 이로 인해 Agent/Configure 권한을 가진 공격자가 Jenkins 컨트롤러 JVM 컨텍스트에서 임의 코드를 실행할 수 있습니다.
💡 쉬운 설명
Jenkins의 오래된 에이전트 설정에 있는 실행 명령이 관리자 확인 없이 실행 가능한 형태로 바뀝니다. 에이전트 설정 권한이 있는 사람은 이를 이용해 Jenkins 서버에서 원하는 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Jenkins 2.587 and earlier, LTS 2.580.1 and earlier converts the launch commands in older agent configurations into launchers provided by the Command Agent Launcher Plugin without checking whether they have been approved by an administrator, allowing attackers with Agent/Configure permission to execute arbitrary code in the context of the Jenkins controller JVM.
📍 영향받는 시스템
Jenkins 2.587 이하, Jenkins LTS 2.580.1 이하 및 Command Agent Launcher Plugin 사용 환경
⚔️ 공격 벡터
Agent/Configure 권한을 가진 인증된 공격자가 구형 에이전트 설정의 실행 명령을 조작하여 컨트롤러 JVM에서 임의 코드를 실행
🛡️ 대응 방법
Jenkins를 2.588 이상 또는 LTS 2.580.2 이상으로 업그레이드하고 Agent/Configure 권한을 최소화
🔧 검증 코드
출력된 버전이 2.588 미만(LTS 기준 2.580.2 미만)이면 취약하므로 업그레이드가 필요하고, 그 이상이면 패치된 버전입니다.
java -jar jenkins.war --version 2>/dev/null || curl -s -I http://localhost:8080/login | grep -i 'x-jenkins'