🔍 CVE-2014-3662

5.0
CVSS Score
MEDIUM
2014-10-16
2026-06-17 00:08
✅ 완료

🇰🇷 한글 설명

Jenkins 1.583 이전 버전과 LTS 1.565.3 이전 버전에서 원격 공격자가 로그인 시도 응답의 차이를 이용하여 유효한 사용자 이름을 열거할 수 있는 취약점입니다. 공격자가 대량의 사용자명을 시도하면서 응답 시간이나 오류 메시지의 미묘한 차이를 통해 실제 존재하는 사용자를 식별할 수 있습니다.

💡 쉬운 설명

Jenkins의 로그인 기능이 올바른 사용자명인지 틀린 사용자명인지 다르게 반응해서, 공격자가 어떤 사용자 계정들이 있는지 알아낼 수 있습니다. 이는 비밀번호 추측 공격의 첫 단계가 될 수 있습니다.

🇺🇸 원문 (English)

Jenkins before 1.583 and LTS before 1.565.3 allows remote attackers to enumerate user names via vectors related to login attempts.

📍 영향받는 시스템

Jenkins 1.583 이전 버전, Jenkins LTS 1.565.3 이전 버전

⚔️ 공격 벡터

로그인 페이지에 여러 사용자명을 시도하면서 응답 시간 차이나 오류 메시지 패턴을 분석하여 유효한 사용자 이름 열거

🛡️ 대응 방법

Jenkins를 1.583 이상 또는 LTS 1.565.3 이상으로 업그레이드하고, 로그인 응답을 표준화하여 사용자 열거를 방지하는 패치 적용

🔧 검증 코드

두 요청의 HTTP 응답 코드나 응답 시간이 동일하면 패치됨, 다르면 취약함

Shell / Script 
curl -s 'http://jenkins-server/login' -d 'j_username=testuser&j_password=wrongpass' -w '%{http_code}\n' -o /dev/null && curl -s 'http://jenkins-server/login' -d 'j_username=nonexistent&j_password=wrongpass' -w '%{http_code}\n' -o /dev/null | sort | uniq -c

📊 CVSS Vector String

CVSS Vector 
AV:N/AC:L/Au:N/C:P/I:N/A:N

💻 영향받는 소프트웨어

Jenkins