🇰🇷 한글 설명
Jenkins 2.145 및 이전 버전, LTS 2.138.1 및 이전 버전에서 세션 고정 취약점이 발견되었습니다. 사용자가 새 계정을 생성할 때 기존 세션을 무효화하고 새 세션을 생성하지 못하는 문제가 발생합니다.
💡 쉬운 설명
새로운 사용자가 가입할 때 기존에 사용하던 로그인 연결 정보가 그대로 유지되는 문제입니다. 공격자가 미리 만들어둔 연결 정보를 이용해 사용자의 계정에 몰래 접속할 위험이 있습니다.
🇺🇸 원문 (English)
A session fixation vulnerability exists in Jenkins 2.145 and earlier, LTS 2.138.1 and earlier in core/src/main/java/hudson/security/HudsonPrivateSecurityRealm.java that prevented Jenkins from invalidating the existing session and creating a new one when a user signed up for a new user account.
📍 영향받는 시스템
Jenkins 2.145 및 이전 버전, LTS 2.138.1 및 이전 버전
⚔️ 공격 벡터
공격자가 미리 설정한 세션 ID를 사용자에게 강제로 사용하게 하여 계정 권한을 탈취하는 세션 고정 공격
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Jenkins 버전이 취약한 버전 범위(2.145 이하 또는 LTS 2.138.1 이하)에 해당하는지 확인합니다.
curl -s http://<jenkins-url>/jnlpJars/jenkins-core.jar | java -jar - | grep -E 'version'