🇰🇷 한글 설명
Jenkins 1.650 이전 버전의 CLI 명령어 문서에 있는 CRLF 인젝션 취약점으로, 원격 공격자가 임의의 HTTP 헤더를 주입하거나 HTTP 응답 분할 공격을 수행할 수 있습니다. 입력값이 충분히 검증되지 않아 개행 문자(CR/LF)를 통해 HTTP 응답을 조작할 수 있습니다.
💡 쉬운 설명
Jenkins 웹 서버가 사용자 입력을 제대로 검증하지 않아서, 악의적인 사용자가 서버의 응답을 조작할 수 있는 취약점입니다. 이를 통해 가짜 로그인 페이지나 악성 콘텐츠를 주입할 수 있습니다.
🇺🇸 원문 (English)
CRLF injection vulnerability in the CLI command documentation in Jenkins before 1.650 and LTS before 1.642.2 allows remote attackers to inject arbitrary HTTP headers and conduct HTTP response splitting attacks via unspecified vectors.
📍 영향받는 시스템
Jenkins 1.650 이전 버전, Jenkins LTS 1.642.2 이전 버전
⚔️ 공격 벡터
CLI 명령어 문서 매개변수에 CRLF 문자를 포함시켜 HTTP 헤더 인젝션 및 응답 분할 공격 수행
🛡️ 대응 방법
Jenkins를 1.650 이상 (LTS의 경우 1.642.2 이상)으로 업그레이드
🔧 검증 코드
Jenkins 버전 정보가 표시되면 현재 설치된 버전을 확인하여 취약 버전(1.650 미만)인지 검증
curl -s http://target:8080/cli/help | head -20 | grep -i 'Jenkins'