🇰🇷 한글 설명
Jenkins 2.153 및 이전 버전, LTS 2.138.3 및 이전 버전의 User.java 및 IdStrategy.java에서 데이터 수정 취약점이 존재합니다. 공격자가 조작된 사용자 이름을 제출하면 사용자 레코드 저장 형식이 부적절하게 마이그레이션되어 피해자가 Jenkins에 로그인하지 못할 수 있습니다.
💡 쉬운 설명
공격자가 특수한 이름을 가진 사용자를 만들어 시스템을 교란할 수 있습니다. 이로 인해 정상적인 사용자가 자신의 계정으로 로그인하지 못하는 문제가 발생할 수 있습니다.
🇺🇸 원문 (English)
A data modification vulnerability exists in Jenkins 2.153 and earlier, LTS 2.138.3 and earlier in User.java, IdStrategy.java that allows attackers to submit crafted user names that can cause an improper migration of user record storage formats, potentially preventing the victim from logging into Jenkins.
📍 영향받는 시스템
Jenkins 2.153 및 이전 버전, LTS 2.138.3 및 이전 버전
⚔️ 공격 벡터
조작된 사용자 이름을 제출하여 데이터 마이그레이션 프로세스를 악용
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력된 버전 정보가 취약한 버전 범위(2.153 이하 또는 LTS 2.138.3 이하)에 해당하는지 확인
curl -s http://<JENKINS_URL>/jelly/api/json | grep -E 'version'