🇰🇷 한글 설명
Jenkins 2.137 및 이전 버전, 2.121.2 및 이전 버전의 BasicAuthenticationFilter.java 및 BasicHeaderApiTokenAuthenticator.java에서 서비스 거부(DoS) 취약점이 발견되었습니다. 공격자가 잘못된 인증 정보를 사용하여 로그인을 시도함으로써 일시적인 인메모리 사용자 레코드를 생성할 수 있습니다.
💡 쉬운 설명
잘못된 아이디와 비밀번호로 계속 로그인을 시도하면 서버의 메모리가 가짜 사용자 정보로 가득 차게 됩니다. 이로 인해 서버의 자원이 고갈되어 서비스가 중단될 수 있습니다.
🇺🇸 원문 (English)
A denial of service vulnerability exists in Jenkins 2.137 and earlier, 2.121.2 and earlier in BasicAuthenticationFilter.java, BasicHeaderApiTokenAuthenticator.java that allows attackers to create ephemeral in-memory user records by attempting to log in using invalid credentials.
📍 영향받는 시스템
Jenkins 2.137 및 이전 버전, 2.121.2 및 이전 버전
⚔️ 공격 벡터
잘못된 인증 정보를 이용한 반복적인 로그인 시도 (DoS)
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 취약한 버전 범위(2.137 이하 또는 2.121.2 이하)에 해당하는지 확인하십시오.
curl -s http://<jenkins-url>/jnlpJsr/api/json | grep -oE '"version":"[^"]+"'