🇰🇷 한글 설명
Jenkins SAML 플러그인 1.0.6 및 이전 버전의 SamlSecurityRealm.java에서 세션 고정(Session Fixation) 취약점이 발견되었습니다. 공격자가 인증 전 세션을 제어할 수 있다면 다른 사용자로 가장하여 권한을 탈취할 수 있습니다.
💡 쉬운 설명
공격자가 미리 만들어둔 로그인 세션을 사용자에게 강제로 사용하게 하여, 사용자가 로그인하면 공격자도 해당 계정에 접속할 수 있게 만드는 문제입니다. 이를 통해 타인의 계정을 몰래 사용하는 것이 가능해집니다.
🇺🇸 원문 (English)
A session fixation vulnerability exists in Jenkins SAML Plugin 1.0.6 and earlier in SamlSecurityRealm.java that allows unauthorized attackers to impersonate another users if they can control the pre-authentication session.
📍 영향받는 시스템
Jenkins SAML Plugin 1.0.6 및 그 이전 버전
⚔️ 공격 벡터
인증 전 세션 ID를 공격자가 제어하여 사용자의 로그인 세션을 가로채는 방식
🛡️ 대응 방법
Jenkins SAML 플러그인을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 플러그인의 버전이 1.0.6 이하인지 확인하십시오.
find / -name 'jenkins-saml-plugin*.jpi' -o -name 'jenkins-saml-plugin*.hpi' 2>/dev/null | xargs grep -a 'version' || echo 'Plugin not found'