🇰🇷 한글 설명
Jenkins 2.579 및 이전 버전, LTS 2.568.2 및 이전 버전에서 transient 필드를 역직렬화 과정에서 제외할 수 없는 취약점이 발견되었습니다. 공격자가 구성 업데이트를 제출할 수 있는 권한이 있다면, 역직렬화되는 transient 필드의 값을 임의로 지정할 수 있으며 그 영향은 해당 필드의 사용 방식에 따라 달라집니다.
💡 쉬운 설명
프로그램이 데이터를 읽어올 때 무시해야 할 임시 데이터까지 공격자가 마음대로 조작할 수 있는 보안 약점입니다. 이를 통해 공격자는 시스템의 설정값을 변조하여 예상치 못한 동작을 유도할 수 있습니다.
🇺🇸 원문 (English)
In Jenkins 2.579 and earlier, LTS 2.568.2 and earlier, transient fields cannot be excluded from deserialization, allowing attackers able to submit configuration updates to specify the values of transient fields that will be deserialized, the impact depending on how those fields are used.
📍 영향받는 시스템
Jenkins 2.579 및 이전 버전, LTS 2.568.2 및 이전 버전
⚔️ 공격 벡터
구성 업데이트 권한을 가진 공격자가 조작된 데이터를 제출하여 역직렬화 과정의 transient 필드 값을 변조함
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.579 미만이거나 LTS 2.568.2 미만인 경우 취약한 상태입니다.
jenkins --version 2>/dev/null || curl -s http://localhost:8080/jelly/api/json | grep -oP '"version":"\K[^"]+'