🇰🇷 한글 설명
Jenkins 2.120 및 이전 버전, LTS 2.107.2 및 이전 버전의 HudsonPrivateSecurityRealm.java에서 제어 시퀀스 중화 미흡 취약점이 발견되었습니다. 공격자는 제어 문자가 포함된 사용자 이름을 사용하여 가입함으로써 기존 사용자와 동일한 이름처럼 보이게 만들 수 있으며, 생성된 계정은 UI를 통해 삭제할 수 없습니다.
💡 쉬운 설명
사용자 이름에 특수 문자를 섞어 가입함으로써 기존 사용자와 똑같은 이름의 가짜 계정을 만드는 공격입니다. 이렇게 만들어진 가짜 계정은 관리자 화면에서 삭제되지 않아 보안 문제를 일으킬 수 있습니다.
🇺🇸 원문 (English)
A improper neutralization of control sequences vulnerability exists in Jenkins 2.120 and older, LTS 2.107.2 and older in HudsonPrivateSecurityRealm.java that allows users to sign up using user names containing control characters that can then appear to have the same name as other users, and cannot be deleted via the UI.
📍 영향받는 시스템
Jenkins 2.120 및 이전 버전, LTS 2.107.2 및 이전 버전
⚔️ 공격 벡터
제어 문자가 포함된 사용자 이름을 사용하여 회원가입 시도
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력된 Jenkins 버전이 2.120 또는 LTS 2.107.2보다 낮은지 확인
jenkins --version 2>/dev/null || dpkg -l | grep jenkins | awk '{print $3}'