🇰🇷 한글 설명
Jenkins 플러그인 관리자가 업데이트 사이트에서 다운로드한 플러그인 파일의 체크섬을 검증하지 않아, 중간자(MITM) 공격자가 악의적인 플러그인으로 교체할 수 있습니다. 이를 통해 Jenkins 서버에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
Jenkins가 플러그인을 설치할 때 '정품 확인'을 하지 않아, 해커가 가짜 플러그인을 주입할 수 있습니다. 이는 서버를 완전히 장악당할 위험이 있습니다.
🇺🇸 원문 (English)
The Plugins Manager in Jenkins before 1.640 and LTS before 1.625.2 does not verify checksums for plugin files referenced in update site data, which makes it easier for man-in-the-middle attackers to execute arbitrary code via a crafted plugin.
📍 영향받는 시스템
Jenkins 1.640 이전 버전 및 LTS 1.625.2 이전 버전 모두
⚔️ 공격 벡터
네트워크 트래픽을 가로채는 중간자 공격으로 플러그인 업데이트 요청을 조작하여 악성 파일 전송
🛡️ 대응 방법
Jenkins를 1.640 이상(또는 LTS 1.625.2 이상)으로 업그레이드하여 체크섬 검증 기능 활성화
🔧 검증 코드
출력된 버전 번호가 1.640 이상(또는 LTS인 경우 1.625.2 이상)이면 안전하고, 그 이하면 취약한 상태입니다.
rpm -q jenkins 2>/dev/null || dpkg -l jenkins 2>/dev/null | grep -oP 'jenkins\s+\K[\d.]+'