🇰🇷 한글 설명
Jenkins의 사용자 데이터베이스 인증 영역에서 발생하는 취약점으로, 회원가입이 활성화된 경우 임의의 계정을 생성하거나 관리자 계정을 생성할 수 있습니다. 이 과정에서 기존의 기본 관리자 계정이 삭제될 수 있으며, 이는 시스템 전체에 심각한 영향을 미칠 수 있습니다.
💡 쉬운 설명
해커가 가짜 관리자 계정을 만들어 Jenkins 시스템에 몰래 들어올 수 있는 보안 구멍입니다. 이 과정에서 원래 있던 관리자 계정이 삭제되어 시스템 제어권을 완전히 뺏길 위험이 있습니다.
🇺🇸 원문 (English)
Jenkins versions 2.56 and earlier as well as 2.46.1 LTS and earlier are vulnerable to an issue in the Jenkins user database authentication realm: create an account if signup is enabled; or create an account if the victim is an administrator, possibly deleting the existing default admin user in the process and allowing a wide variety of impacts.
📍 영향받는 시스템
Jenkins 2.56 이하 버전 및 2.46.1 LTS 이하 버전
⚔️ 공격 벡터
회원가입 기능이 활성화된 상태에서 인증 메커니즘의 허점을 이용해 관리자 권한을 가진 계정을 생성
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 즉시 업데이트
🔧 검증 코드
출력된 버전 정보가 취약한 버전 범위(2.56 이하 또는 2.46.1 LTS 이하)에 해당하는지 확인
curl -s http://<JENKINS_URL>/jnlpJars/jenkins-cli.jar | java -jar - | grep -E 'Jenkins version'