🇰🇷 한글 설명
Jenkins 1.640 이전 및 LTS 1.625.2 이전 버전에서 HTTP GET 메서드를 통한 CSRF 취약점으로 인해 원격 공격자가 관리자의 세션을 탈취하고 권한 있는 요청을 실행할 수 있습니다. 이를 통해 시스템 설정 변경, 플러그인 설치, 빌드 실행 등 관리자 권한 기반의 모든 작업 수행 가능합니다.
💡 쉬운 설명
Jenkins 관리자가 공격자가 준비한 악의적인 웹페이지를 방문하면, 그 페이지가 관리자의 권한으로 Jenkins에서 명령을 실행하도록 만드는 공격입니다. 관리자가 로그인된 상태에서 링크를 클릭하면 자신도 모르게 시스템 설정이 변경될 수 있습니다.
🇺🇸 원문 (English)
Cross-site request forgery (CSRF) vulnerability in Jenkins before 1.640 and LTS before 1.625.2 allows remote attackers to hijack the authentication of administrators for requests that have unspecified impact via vectors related to the HTTP GET method.
📍 영향받는 시스템
Jenkins 1.640 이전 및 LTS 1.625.2 이전 모든 버전
⚔️ 공격 벡터
CSRF 공격: 공격자가 악의적인 HTML/JavaScript를 포함한 웹페이지를 만들고 로그인된 Jenkins 관리자가 방문하도록 유도하면, 자동으로 관리자 세션에서 요청 실행
🛡️ 대응 방법
Jenkins를 1.640 이상(LTS 1.625.2 이상)으로 즉시 업그레이드하고, 구성 관리에서 CSRF 보호 활성화 확인
🔧 검증 코드
출력된 Jenkins 버전이 1.640 이상(LTS는 1.625.2 이상)이면 안전, 그 이하면 취약점 존재
jenkins -v 2>/dev/null | grep -oP '\d+\.\d+(\.\d+)?' || curl -s http://localhost:8080/jenkins/api/json 2>/dev/null | grep -oP '"version":"\K[^"]+' || echo 'Jenkins not found'