🇰🇷 한글 설명
Jenkins 2.579 및 이전 버전, LTS 2.568.2 및 이전 버전에서 에이전트 설정을 업데이트하는 REST API 및 CLI 엔드포인트에 취약점이 존재합니다. 공격자가 특정 에이전트에 대한 구성 권한을 가지고 있다면, XML 문서 내에 다른 에이전트의 이름을 지정하여 해당 에이전트의 설정을 덮어쓸 수 있습니다. 이를 통해 다른 에이전트의 제어권을 획득하고 인바운드 에이전트 비밀 키 및 환경 변수에 접근할 수 있습니다.
💡 쉬운 설명
에이전트 설정을 바꿀 수 있는 권한을 가진 사람이 다른 에이전트의 이름까지 몰래 적어 보내면, 원래 권한이 없는 다른 에이전트의 설정까지 마음대로 바꿀 수 있는 문제입니다. 이를 통해 공격자는 다른 에이전트의 비밀번호나 중요한 정보를 훔쳐낼 수 있습니다.
🇺🇸 원문 (English)
In Jenkins 2.579 and earlier, LTS 2.568.2 and earlier, the REST API and CLI endpoints for updating agent configuration do not prevent a submitted configuration from overwriting a different agent by specifying that agent's name in the submitted XML document, allowing attackers with Agent/Configure permission on one agent to take over a different agent, gaining control of its configuration and obtaining access to its inbound agent secret and environment variables.
📍 영향받는 시스템
Jenkins 2.579 및 이전 버전, LTS 2.568.2 및 이전 버전
⚔️ 공격 벡터
REST API 또는 CLI를 통해 조작된 XML 문서를 전송하여 다른 에이전트의 설정을 덮어쓰는 방식
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 버전(2.579 미만 또는 LTS 2.568.2 미만)인지 확인하십시오.
curl -s http://<jenkins-url>/api/json | grep -E 'version' | sed 's/.*"version":"\(.*\)".*/\1/'