🇰🇷 한글 설명
Jenkins 1.650 이전 버전과 LTS 1.642.2 이전 버전에서 CSRF 토큰 검증에 상수 시간 알고리즘을 사용하지 않아, 공격자가 무작위 대입(brute-force) 공격을 통해 CSRF 보호 메커니즘을 우회할 수 있는 취약점이다. 토큰 검증 시간 차이를 이용하면 유효한 토큰을 쉽게 찾아낼 수 있다.
💡 쉬운 설명
Jenkins 보안 인증 과정에서 로그인 확인 시간이 다르게 걸려서, 공격자가 패턴을 찾아 가짜 인증을 만들 수 있다는 뜻이다. 이를 통해 사용자 몰래 작업을 수행하도록 속일 수 있다.
🇺🇸 원문 (English)
Jenkins before 1.650 and LTS before 1.642.2 do not use a constant-time algorithm to verify CSRF tokens, which makes it easier for remote attackers to bypass a CSRF protection mechanism via a brute-force approach.
📍 영향받는 시스템
Jenkins 1.650 이전, Jenkins LTS 1.642.2 이전 모든 버전
⚔️ 공격 벡터
CSRF 토큰의 시간 기반 차이를 측정하면서 무작위 대입 공격으로 유효한 토큰 도출
🛡️ 대응 방법
Jenkins를 1.650 이상 또는 LTS 1.642.2 이상으로 업그레이드
🔧 검증 코드
버전이 1.650 미만이거나 LTS 시리즈에서 1.642.2 미만이면 취약한 상태
jenkins --version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+' | head -1