🇰🇷 한글 설명
Jenkins 2.421~2.579 및 LTS 2.426.1~2.568.2 버전에서 외관(Appearance) 설정 페이지의 권한 검사가 올바르게 수행되지 않습니다. 이로 인해 Overall/Manage 권한을 가진 공격자가 접근 권한이 없는 외관 설정 옵션을 수정할 수 있습니다.
💡 쉬운 설명
Jenkins 관리 권한을 가진 사용자가 원래는 건드리면 안 되는 디자인 설정까지 마음대로 바꿀 수 있는 보안 허점이 발견되었습니다. 이는 시스템의 시각적 설정을 의도치 않게 변경할 위험이 있습니다.
🇺🇸 원문 (English)
Jenkins 2.421 through 2.579 (both inclusive), LTS 2.426.1 through 2.568.2 (both inclusive) does not correctly perform permission checks in the Appearance configuration page, allowing attackers with Overall/Manage permission to modify Appearance configuration options they should not have access to.
📍 영향받는 시스템
Jenkins 2.421 ~ 2.579, LTS 2.426.1 ~ 2.568.2
⚔️ 공격 벡터
Overall/Manage 권한을 가진 내부 사용자 또는 탈취된 계정을 통한 권한 우회 공격
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Jenkins 버전을 확인하여 취약한 버전 범위에 포함되는지 대조하십시오.
curl -s http://<JENKINS_URL>/jnlpJars/jenkins-cli.jar | java -jar - --version 2>/dev/null || echo 'Check Jenkins version via UI'