🇰🇷 한글 설명
Jenkins 1.491 이전 버전에서 발견된 CRLF injection 취약점으로, 원격 공격자가 HTTP 헤더를 주입하고 HTTP response splitting 공격을 수행할 수 있습니다. Jenkins LTS 및 Enterprise 버전의 여러 계열에서도 동일하게 영향을 받습니다.
💡 쉬운 설명
Jenkins 웹 서버의 특정 버전에 결함이 있어서, 해커가 웹 응답을 조작하고 가짜 페이지나 악성 콘텐츠를 삽입할 수 있습니다. 사용자가 의도하지 않은 데이터를 받게 될 수 있습니다.
🇺🇸 원문 (English)
CRLF injection vulnerability in Jenkins before 1.491, Jenkins LTS before 1.480.1, and Jenkins Enterprise 1.424.x before 1.424.6.13, 1.447.x before 1.447.4.1, and 1.466.x before 1.466.10.1 allows remote attackers to inject arbitrary HTTP headers and conduct HTTP response splitting attacks via unspecified vectors.
📍 영향받는 시스템
Jenkins < 1.491, Jenkins LTS < 1.480.1, Jenkins Enterprise 1.424.x < 1.424.6.13, 1.447.x < 1.447.4.1, 1.466.x < 1.466.10.1
⚔️ 공격 벡터
CRLF 문자(
)를 입력 파라미터에 주입하여 HTTP 응답을 분할하고 임의의 HTTP 헤더와 응답 본문을 추가
🛡️ 대응 방법
Jenkins를 안전한 버전으로 업그레이드 (1.491 이상, LTS는 1.480.1 이상, Enterprise는 명시된 패치 버전)
🔧 검증 코드
Jenkins API 응답에서 버전 번호를 확인하거나, Jenkins War 파일의 버전을 확인하거나, 설치된 패키지 버전을 확인하여 영향받는 버전 범위와 비교
curl -s http://localhost:8080/api/json 2>/dev/null | grep -o '"version":"[^"]*"' || java -jar /usr/share/jenkins/jenkins.war --version 2>/dev/null || dpkg -l 2>/dev/null | grep jenkins