🇰🇷 한글 설명
Jenkins 2.56 및 2.46.1 LTS 이하 버전에서 인증되지 않은 원격 코드 실행(RCE) 취약점이 발견되었습니다. 공격자가 직렬화된 Java SignedObject를 Jenkins CLI로 전송하여 기존의 블랙리스트 기반 보호 메커니즘을 우회하고 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
해커가 아이디나 비밀번호 없이도 Jenkins 서버에 접속하여 악성 명령을 내릴 수 있는 심각한 보안 결함입니다. 특수한 데이터 뭉치를 보내 서버의 보안 검사를 속이는 방식으로 공격이 이루어집니다.
🇺🇸 원문 (English)
Jenkins versions 2.56 and earlier as well as 2.46.1 LTS and earlier are vulnerable to an unauthenticated remote code execution. An unauthenticated remote code execution vulnerability allowed attackers to transfer a serialized Java `SignedObject` object to the Jenkins CLI, that would be deserialized using a new `ObjectInputStream`, bypassing the existing blacklist-based protection mechanism. We're fixing this issue by adding `SignedObject` to the blacklist. We're also backporting the new HTTP CLI protocol from Jenkins 2.54 to LTS 2.46.2, and deprecating the remoting-based (i.e. Java serialization) CLI protocol, disabling it by default.
📍 영향받는 시스템
Jenkins 2.56 및 이전 버전, Jenkins 2.46.1 LTS 및 이전 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 직렬화된 Java SignedObject를 Jenkins CLI를 통해 전송하여 역직렬화 취약점 악용
🛡️ 대응 방법
Jenkins를 최신 버전(2.56 이상 또는 2.46.2 LTS 이상)으로 업데이트하고, Java 직렬화 기반 CLI 프로토콜 사용을 중단하십시오.
🔧 검증 코드
출력된 버전 정보가 취약한 버전(2.56 미만 또는 2.46.1 LTS 미만)인지 확인하십시오.
curl -s http://<JENKINS_URL>/jnlpJars/jenkins-cli.jar | java -jar - | grep -i 'version' || echo 'Check Jenkins version via UI or API'