🇰🇷 한글 설명
Jenkins 2.567 및 LTS 2.555.2 이전 버전에서 권한 검사 누락으로 인해 Overall/Read 권한만 가진 공격자가 다른 사용자의 설정된 시간대를 확인하고 '내 보기'의 뷰 이름을 열거할 수 있습니다. 이는 민감한 사용자 정보 유출 및 시스템 구조 파악에 악용될 수 있는 중립 수준의 취약점입니다.
💡 쉬운 설명
Jenkins의 낮은 권한만 있어도 다른 사용자의 시간대 설정과 뷰 이름을 알아낼 수 있는 구멍이 있습니다. 이는 시스템의 내부 구조를 파악하는 데 사용될 수 있으므로 업데이트가 필요합니다.
🇺🇸 원문 (English)
Missing permission checks in Jenkins 2.567 and earlier, LTS 2.555.2 and earlier allow attackers with Overall/Read permission to determine other users' configured timezone and to enumerate view names of other users' "My Views".
📍 영향받는 시스템
Jenkins 2.567 및 이전 버전, LTS 2.555.2 및 이전 버전
⚔️ 공격 벡터
Overall/Read 권한을 가진 공격자가 API를 통해 타 사용자 정보 조회
🛡️ 대응 방법
Jenkins를 최신 안정 버전으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 2.567 또는 LTS 2.555.2보다 낮으면 취약한 상태입니다.
curl -s -u user:pass http://localhost:8080/api/json | grep -o '"version":"[^"]*"'