🇰🇷 한글 설명
Jenkins의 API 토큰 검증이 상수 시간 알고리즘을 사용하지 않아 시간 기반 공격에 취약합니다. 공격자가 반복적인 시도를 통해 유효한 API 토큰을 추측할 수 있습니다. Jenkins 1.650 이전 및 LTS 1.642.2 이전 버전이 영향을 받습니다.
💡 쉬운 설명
Jenkins의 보안 토큰 확인이 응답 시간 차이로 인식되어 공격자가 올바른 토큰을 추측할 수 있습니다. 이를 통해 해커가 시스템에 불정상적으로 접근할 위험이 있습니다.
🇺🇸 원문 (English)
Jenkins before 1.650 and LTS before 1.642.2 do not use a constant-time algorithm to verify API tokens, which makes it easier for remote attackers to determine API tokens via a brute-force approach.
📍 영향받는 시스템
Jenkins < 1.650, Jenkins LTS < 1.642.2
⚔️ 공격 벡터
Timing attack을 이용한 API 토큰 브루트포스 공격
🛡️ 대응 방법
Jenkins를 1.650 이상(또는 LTS 1.642.2 이상)으로 즉시 업그레이드
🔧 검증 코드
표시되는 버전이 1.650 미만이거나 LTS에서 1.642.2 미만이면 취약합니다.
curl -s http://localhost:8080/api/json 2>/dev/null | grep -oP '"version":\s*"\K[^"]+' || java -jar /var/lib/jenkins/jenkins.war --version 2>/dev/null