🇰🇷 한글 설명
Jenkins 2.137 및 이전 버전, 2.121.2 및 이전 버전의 SecurityRealm.java 및 TokenBasedRememberMeServices2.java에서 부적절한 인증 취약점이 존재합니다. 이 취약점을 통해 공격자는 유효한 쿠키를 보유한 경우 해당 기능이 비활성화되어 있더라도 로그인을 유지할 수 있습니다.
💡 쉬운 설명
로그인 유지 기능을 꺼두더라도, 이전에 사용했던 쿠키가 있으면 시스템이 사용자를 계속 로그인된 상태로 착각하는 문제입니다. 해커가 사용자의 쿠키를 훔친다면 로그아웃을 해도 계속 접속할 수 있습니다.
🇺🇸 원문 (English)
A improper authentication vulnerability exists in Jenkins 2.137 and earlier, 2.121.2 and earlier in SecurityRealm.java, TokenBasedRememberMeServices2.java that allows attackers with a valid cookie to remain logged in even if that feature is disabled.
📍 영향받는 시스템
Jenkins 2.137 및 이전 버전, 2.121.2 및 이전 버전
⚔️ 공격 벡터
유효한 Remember-Me 쿠키를 탈취하여 세션 유지 기능을 우회하여 접근
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위에 포함되는지 확인하십시오.
curl -s http://<jenkins-url>/jnlpJsr/version | grep -E '2.137|2.121.2'