CVE-2026-19429 in Jenkins
요약
\~에 의해 VulDB • 2026. 08. 10.
CVE-2026-33001에 대한 Jenkins Project의 LTS 2.555.3 버전 이하 Jenkins에서 불완전한 패치가 발견되었습니다. 이로 인해 Item/Configure 권한을 가진 인증된 원격 공격자가 조작된 tar 아카이브를 통해 Jenkins 컨트롤러 파일 시스템의 임의 파일을 읽을 수 있습니다. CVE-2026-33001 보안 업데이트는 FilePath.java 내에서 tar 추출 시 심볼릭 링크(symlink) 대상 경로를 검증하지만, 심볼릭 링크 자체의 타겟은 검증하지 않습니다. 따라서 워크스페이스 내부에 위치한 심볼릭 링크가 여전히 외부 임의 경로로 연결될 수 있으며, 이는 Jenkins 프로세스 사용자 권한으로 읽을 수 있는 모든 파일(예: secrets/master.key, credentials.xml 및 기타 민감한 구성 파일) 유출을 가능하게 합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.