🇰🇷 한글 설명
Jenkins 2.567 이하 및 LTS 2.555.2 이하 버전에서 POST config.xml 제출 시 비밀번호 등 기밀 정보가 암호화되지 않은 상태로 저장되는 취약점입니다. 이로 인해 Item/Extended Read 권한을 가진 사용자는 물론, 컨트롤러 파일 시스템에 접근 가능한 모든 사용자가 기밀 정보를 노출시킬 수 있습니다.
💡 쉬운 설명
Jenkins 설정 파일을 통해 비밀번호를 입력할 때, 시스템이 이를 암호화하지 않고 그대로 저장하는 문제입니다. 권한이 있는 사용자가 설정 파일을 열면 비밀번호가 그대로 드러나기 때문에 보안에 매우 위험합니다.
🇺🇸 원문 (English)
Jenkins 2.567 and earlier, LTS 2.555.2 and earlier does not encrypt secrets from POST config.xml submissions before storing them in job configurations unencrypted in job config.xml files on the Jenkins controller where they can be viewed by users with Item/Extended Read permission, or access to the Jenkins controller file system.
📍 영향받는 시스템
Jenkins 2.567 및 이전 버전, LTS 2.555.2 및 이전 버전
⚔️ 공격 벡터
POST config.xml 제출을 통한 기밀 정보 비암호화 저장 및 권한 있는 사용자의 파일 시스템 접근
🛡️ 대응 방법
Jenkins를 최신 안정 버전으로 업그레이드하여 기밀 정보 저장 시 자동 암호화 기능을 활성화하십시오.
🔧 검증 코드
출력된 버전 번호가 2.567 이하이거나 LTS 2.555.2 이하인 경우 취약한 버전으로 판단해야 합니다.
curl -s http://localhost:8080/version/api/json | grep -o '"number":"[^"]*"'