🇰🇷 한글 설명
Jenkins 2.579 및 이전 버전, LTS 2.568.2 및 이전 버전에서 발생합니다. 빌드 CLI 명령어가 -s 플래그를 사용하여 빌드 취소를 시도할 때 Item/Cancel 권한을 확인하지 않아, Item/Build 권한만 있는 공격자가 다른 사용자가 시작한 빌드를 취소할 수 있습니다.
💡 쉬운 설명
권한이 부족한 사용자가 다른 사람이 실행 중인 작업(빌드)을 강제로 중단시킬 수 있는 보안 결함입니다. 빌드 취소 권한이 없는 사람이 빌드 명령을 통해 타인의 작업을 방해할 수 있습니다.
🇺🇸 원문 (English)
In Jenkins 2.579 and earlier, LTS 2.568.2 and earlier, the build CLI command does not check the Item/Cancel permission when using the -s flag to cancel a build triggered to wait for completion, allowing attackers with Item/Build permission to cancel builds started by other users.
📍 영향받는 시스템
Jenkins 2.579 및 이전 버전, LTS 2.568.2 및 이전 버전
⚔️ 공격 벡터
Item/Build 권한을 가진 사용자가 CLI의 -s 플래그를 사용하여 권한 검증 없이 타인의 빌드 취소 명령을 실행
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Jenkins 버전이 취약한 버전 범위(2.579 이하 또는 LTS 2.568.2 이하)에 해당하는지 확인하십시오.
curl -s http://<jenkins-url>/jnlpJars/jenkins-cli.jar --user <user>:<api-token> 2>/dev/null | grep -E 'version'