🇰🇷 한글 설명
Jenkins의 FilePath.untarFrom() 함수가 TAR 압축 해제 시 심볼릭 링크 대상을 검증하지 않아 발생하는 취약점입니다. 공격자는 Item/Configure 권한을 이용해 워크스페이스에서 Jenkins 컨트롤러의 임의 파일로 연결되는 심볼릭 링크를 생성할 수 있으며, 이를 통해 암호화 키나 자격 증명 등 $JENKINS_HOME 내의 민감한 파일을 탈취할 수 있습니다.
💡 쉬운 설명
압축 파일을 풀 때 가짜 연결 통로(심볼릭 링크)를 만들어 시스템의 중요한 파일을 몰래 훔쳐볼 수 있는 문제입니다. 공격자가 권한을 가지면 Jenkins 서버에 저장된 비밀번호나 보안 키를 읽어갈 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
Jenkins FilePath.untarFrom() does not validate symlink targets when extracting TAR archives, allowing an attacker with Item/Configure permission to create symlinks from a workspace to arbitrary files on the Jenkins controller. This issue remains exploitable in versions patched for CVE-2026-33001 and CVE-2026-70427. An attacker can use this to read sensitive files from $JENKINS_HOME, including Jenkins cryptographic keys and stored credentials. Jenkins 2.576 is additionally affected by a Unicode zero-width character bypass of the blank-name validation introduced by CVE-2026-70427.
📍 영향받는 시스템
Jenkins (CVE-2026-33001 및 CVE-2026-70427 패치 버전 포함, 2.576 버전은 유니코드 우회 취약점 추가 영향)
⚔️ 공격 벡터
Item/Configure 권한을 가진 공격자가 조작된 TAR 아카이브를 업로드하여 심볼릭 링크를 통한 임의 파일 읽기 수행
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하고, 사용자 권한 관리를 강화하십시오.
🔧 검증 코드
출력된 Jenkins 버전이 CVE-2026-19429가 해결된 최신 보안 패치 버전인지 확인하십시오.
curl -s http://<jenkins-url>/jnlpJars/jenkins-core.jar | java -jar - | grep -E 'version'