🇰🇷 한글 설명
Jenkins 1.551 이전 버전 및 LTS 1.532.2 이전 버전에서 사용자 삭제 시 해당 사용자의 API 토큰이 무효화되지 않는 취약점입니다. 삭제된 사용자도 유효한 토큰을 소유하고 있다면 API를 통해 Jenkins에 접근할 수 있으며, 이를 통해 시스템에 대한 권한을 유지할 수 있습니다.
💡 쉬운 설명
Jenkins에서 사용자를 삭제해도 그 사용자의 접근 토큰이 남아 있어서, 삭제된 사용자가 여전히 시스템에 접근할 수 있는 문제입니다. 마치 회사를 그만둔 직원이 여전히 출입카드로 건물에 들어갈 수 있는 상황과 같습니다.
🇺🇸 원문 (English)
Jenkins before 1.551 and LTS before 1.532.2 does not invalidate the API token when a user is deleted, which allows remote authenticated users to retain access via the token.
📍 영향받는 시스템
Jenkins < 1.551 및 Jenkins LTS < 1.532.2
⚔️ 공격 벡터
원격 인증 공격자가 삭제된 사용자의 유효한 API 토큰을 사용하여 Jenkins API에 접근 및 조작
🛡️ 대응 방법
Jenkins를 1.551 이상 또는 LTS 1.532.2 이상으로 업그레이드하고, 기존 API 토큰을 재발급하여 무효화
🔧 검증 코드
반환된 Jenkins 버전 번호가 1.551 이상이면 패치됨, 이하면 취약함
curl -s http://localhost:8080/api/json 2>/dev/null | grep -oP '"version":"\K[^"]*'