🇰🇷 한글 설명
Jenkins의 CSRF 취약점으로 원격 공격자가 관리자 인증을 탈취하여 임의의 코드 실행이나 Maven 저장소로의 악성 바이너리 배포를 수행할 수 있습니다. 영향받는 버전은 1.514 이전, LTS 1.509.1 이전, Enterprise 버전입니다.
💡 쉬운 설명
Jenkins(소프트웨어 개발 자동화 도구)의 보안 결함으로 공격자가 관리자를 사칭하여 악의적인 명령을 실행할 수 있습니다. 이를 통해 악성 코드 실행이나 중요한 패키지 배포를 조작할 수 있습니다.
🇺🇸 원문 (English)
Multiple cross-site request forgery (CSRF) vulnerabilities in Jenkins before 1.514, LTS before 1.509.1, and Enterprise 1.466.x before 1.466.14.1 and 1.480.x before 1.480.4.1 allow remote attackers to hijack the authentication of administrators for requests that (1) execute arbitrary code or (2) initiate deployment of binaries to a Maven repository via unspecified vectors.
📍 영향받는 시스템
Jenkins 1.514 이전, LTS 1.509.1 이전, Enterprise 1.466.x (1.466.14.1 미만), 1.480.x (1.480.4.1 미만)
⚔️ 공격 벡터
CSRF(크로스 사이트 요청 위조) 공격으로 관리자 세션을 악용하여 인증이 필요한 민감한 작업 실행
🛡️ 대응 방법
Jenkins를 1.514 이상(LTS 1.509.1 이상, Enterprise 1.466.14.1 이상 또는 1.480.4.1 이상)으로 업그레이드
🔧 검증 코드
Jenkins 버전이 1.514 이상이거나, LTS/Enterprise 해당 버전 이상이면 패치됨. 구버전 표시 시 즉시 업그레이드 필요.
dpkg -l | grep jenkins | awk '{print $3}' && curl -s http://localhost:8080 2>/dev/null | grep -oP 'Version [0-9.]+' | head -1