🇰🇷 한글 설명
Jenkins 2.575 및 이전 버전, LTS 2.568.1 및 이전 버전에서 프로젝트 명명 전략 설정 시 인스턴스화할 수 있는 객체 유형을 제한하지 않는 취약점이 발견되었습니다. 이를 통해 Overall/Manage 권한을 가진 공격자는 관리자 전용 설정을 포함하여 임의의 유형을 생성할 수 있습니다.
💡 쉬운 설명
Jenkins 관리 권한을 가진 사용자가 원래는 건드리면 안 되는 시스템 설정값들을 마음대로 만들어낼 수 있는 문제입니다. 이로 인해 관리자만 할 수 있는 중요한 설정이 변경될 위험이 있습니다.
🇺🇸 원문 (English)
Jenkins 2.575 and earlier, LTS 2.568.1 and earlier does not restrict the types of objects that can be instantiated as part of the project naming strategy configuration, allowing attackers with Overall/Manage permission to instantiate arbitrary types related to configuration, including those intended for configuration only by administrators.
📍 영향받는 시스템
Jenkins 2.575 및 이전 버전, LTS 2.568.1 및 이전 버전
⚔️ 공격 벡터
Overall/Manage 권한을 가진 사용자가 프로젝트 명명 전략(Project Naming Strategy) 설정을 통해 임의의 객체를 생성
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 번호가 나타나면 해당 버전이 설치되어 있음을 의미합니다.
curl -s http://localhost:8080/jelly/api/jenkins | grep -E '"version":"(2\.[0-5][0-6][0-8]\.[0-1]|2\.575)"'