🇰🇷 한글 설명
Jenkins 1.638 이전 버전과 LTS 1.625.2 이전 버전에서 JNLP 슬레이브를 악용하여 공격자가 의도된 슬레이브-마스터 간 접근 제한을 우회할 수 있는 취약점입니다. CVE-2014-3665의 불완전한 수정으로 인해 발생한 보안 결함입니다.
💡 쉬운 설명
Jenkins의 원격 컴퓨터(슬레이브)와의 통신에서 보안 검증이 제대로 되지 않아, 승인되지 않은 컴퓨터가 마스터 서버에 접근할 수 있게 됩니다. 이를 통해 공격자는 시스템 제어권을 획득하거나 중요한 작업을 임의로 실행할 수 있습니다.
🇺🇸 원문 (English)
Jenkins before 1.638 and LTS before 1.625.2 allow attackers to bypass intended slave-to-master access restrictions by leveraging a JNLP slave. NOTE: this vulnerability exists because of an incomplete fix for CVE-2014-3665.
📍 영향받는 시스템
Jenkins 1.637 이하, Jenkins LTS 1.625.1 이하
⚔️ 공격 벡터
JNLP 프로토콜을 이용한 슬레이브 연결에서 인증 우회를 통한 마스터 접근
🛡️ 대응 방법
Jenkins를 1.638 이상 또는 LTS 1.625.2 이상으로 업그레이드
🔧 검증 코드
X-Jenkins 헤더에서 Jenkins 버전을 확인하여 1.638 미만 또는 LTS 1.625.2 미만이면 취약한 상태
curl -sI http://localhost:8080 2>/dev/null | grep -i x-jenkins | awk '{print $2}'