🔍 CVE-2016-3721

4.3
CVSS Score
MEDIUM
2016-05-17
2026-06-17 00:46
✅ 완료

🇰🇷 한글 설명

Jenkins 2.3 이전 버전과 LTS 1.651.2 이전에서 원격 인증된 사용자가 환경 변수를 통해 빌드 환경에 임의의 빌드 파라미터를 주입할 수 있는 취약점입니다. 이를 통해 공격자는 빌드 프로세스를 조작하여 악의적인 코드 실행이나 민감한 정보 유출이 가능합니다.

💡 쉬운 설명

Jenkins 시스템에서 권한 있는 사용자가 빌드 설정을 변경해 악의적인 코드를 몰래 실행할 수 있는 보안 문제입니다. 빌드 환경에 원하는 변수를 주입하여 시스템을 제어할 수 있습니다.

🇺🇸 원문 (English)

Jenkins before 2.3 and LTS before 1.651.2 might allow remote authenticated users to inject arbitrary build parameters into the build environment via environment variables.

📍 영향받는 시스템

Jenkins < 2.3 및 Jenkins LTS < 1.651.2

⚔️ 공격 벡터

원격 인증된 사용자가 빌드 요청 시 환경 변수를 조작하여 임의의 빌드 파라미터 주입

🛡️ 대응 방법

Jenkins를 2.3 이상 또는 LTS 1.651.2 이상으로 즉시 업그레이드

🔧 검증 코드

X-Jenkins-Version 헤더가 보이면 버전 확인, 없으면 설치된 패키지 버전이 2.3 이상 또는 LTS 1.651.2 이상인지 확인

Shell / Script 
curl -sI http://localhost:8080 2>/dev/null | grep -i x-jenkins-version || dpkg -l 2>/dev/null | grep jenkins | awk '{print $2,$3}'

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

💻 영향받는 소프트웨어

Jenkins