🇰🇷 한글 설명
Jenkins 2.579 및 이전 버전, LTS 2.568.2 및 이전 버전에서 사용자 객체가 다른 역직렬화된 XML 객체의 중첩된 필드 값으로 나타날 수 있는 취약점이 발견되었습니다. 이를 통해 Overall/Read 권한을 가진 공격자가 조작된 XML을 제출하여 사용자 객체를 생성할 수 있습니다.
💡 쉬운 설명
권한이 낮은 사용자가 특수하게 만든 XML 파일을 보내서 시스템에 새로운 사용자 정보를 몰래 끼워 넣을 수 있는 문제입니다. 이를 통해 권한 상승이나 시스템 설정 조작의 위험이 발생할 수 있습니다.
🇺🇸 원문 (English)
In Jenkins 2.579 and earlier, LTS 2.568.2 and earlier, user objects can appear as nested field values in other deserialized XML objects, allowing attackers with Overall/Read permission to create user objects by submitting crafted XML.
📍 영향받는 시스템
Jenkins 2.579 이하 버전 및 LTS 2.568.2 이하 버전
⚔️ 공격 벡터
Overall/Read 권한을 가진 사용자가 조작된 XML 데이터를 전송하여 역직렬화 과정에서 사용자 객체를 생성
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 나타나면 업데이트가 필요한 상태입니다.
curl -s http://<jenkins-url>/jnlpJid/api/json | grep -E '"version":"(2\.[0-5][6-7]\.|2\.5[7-8][0-9])"'