🇰🇷 한글 설명
Jenkins 2.73.1 및 2.83 이전 버전에서 사용되는 commons-httpclient 라이브러리가 SSL 인증서를 올바르게 검증하지 못하는 취약점(CVE-2012-6153)을 포함하고 있습니다. 이로 인해 중간자 공격(MITM)에 노출될 수 있으며, 해당 라이브러리는 Jenkins 플러그인의 전이적 의존성으로 널리 사용됩니다.
💡 쉬운 설명
인터넷 연결 시 보안 인증서를 제대로 확인하지 못하는 결함이 있어, 해커가 중간에서 통신 내용을 가로채거나 조작할 수 있습니다. Jenkins를 사용하는 동안 데이터가 안전하게 전달되지 않을 위험이 있습니다.
🇺🇸 원문 (English)
Jenkins 2.73.1 and earlier, 2.83 and earlier bundled a version of the commons-httpclient library with the vulnerability CVE-2012-6153 that incorrectly verified SSL certificates, making it susceptible to man-in-the-middle attacks. This library is widely used as a transitive dependency in Jenkins plugins. The fix for CVE-2012-6153 was backported to the version of commons-httpclient that is bundled in core and made available to plugins.
📍 영향받는 시스템
Jenkins 2.73.1 이하 및 2.83 이하 버전
⚔️ 공격 벡터
중간자 공격(Man-in-the-Middle)을 통한 SSL/TLS 통신 가로채기
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트하여 수정된 commons-httpclient 라이브러리를 적용해야 합니다.
🔧 검증 코드
출력된 Jenkins 버전이 취약한 버전 범위(2.73.1 이하 또는 2.83 이하)에 해당하는지 확인합니다.
curl -s http://<JENKINS_URL>/jelly/plugin/version.json | grep -E '"version"'