🇰🇷 한글 설명
Jenkins의 특정 버전에서 관리자가 GET 요청을 통해 사용자 생성을 수행하는 CSRF 취약점이 발견되었습니다. 공격자는 관리자의 브라우저를 조작하여 대량의 사용자 레코드를 생성함으로써 시스템에 부하를 줄 수 있습니다.
💡 쉬운 설명
관리자가 모르는 사이에 악성 링크를 클릭하게 만들어 가짜 사용자 계정을 대량으로 만드는 공격입니다. 이로 인해 시스템에 과부하가 걸리거나 보안 설정이 복잡해질 수 있습니다.
🇺🇸 원문 (English)
jenkins before versions 2.44, 2.32.2 is vulnerable to a user creation CSRF using GET by admins. While this user record was only retained until restart in most cases, administrators' web browsers could be manipulated to create a large number of user records (SECURITY-406).
📍 영향받는 시스템
Jenkins versions before 2.44 and 2.32.2
⚔️ 공격 벡터
관리자의 브라우저를 이용한 CSRF (Cross-Site Request Forgery) 공격
🛡️ 대응 방법
Jenkins를 2.44 또는 2.32.2 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
Jenkins 관리 화면의 'About Jenkins' 메뉴나 CLI를 통해 현재 설치된 버전이 2.44 또는 2.32.2보다 높은지 확인하십시오.
curl -s http://localhost:8080/jnlpJars/jenkins-cli.jar | grep -E 'version' || echo 'Check Jenkins version via UI or CLI'