🇰🇷 한글 설명
Jenkins 2.158 및 이전 버전, LTS 2.150.1 및 이전 버전에서 부적절한 권한 부여 취약점이 발견되었습니다. Overall/RunScripts 권한을 가진 공격자가 만료되지 않는 'Remember Me' 쿠키를 생성할 수 있어, 일시적으로 탈취한 계정에 대한 접근을 지속적으로 유지할 수 있습니다.
💡 쉬운 설명
해커가 한 번 로그인하면 절대 로그아웃되지 않는 특수한 쿠키를 만들 수 있는 문제입니다. 이를 통해 계정 권한을 잠시 얻더라도 나중에 다시 몰래 접속할 수 있습니다.
🇺🇸 원문 (English)
An improper authorization vulnerability exists in Jenkins 2.158 and earlier, LTS 2.150.1 and earlier in core/src/main/java/hudson/security/TokenBasedRememberMeServices2.java that allows attackers with Overall/RunScripts permission to craft Remember Me cookies that would never expire, allowing e.g. to persist access to temporarily compromised user accounts.
📍 영향받는 시스템
Jenkins 2.158 및 이전 버전, LTS 2.150.1 및 이전 버전
⚔️ 공격 벡터
Overall/RunScripts 권한을 이용한 만료되지 않는 Remember Me 쿠키 생성 및 재사용
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 취약점이 해결된 버전(2.159 또는 LTS 2.150.2 이상)보다 낮은지 확인하십시오.
curl -s http://<jenkins-url>/jelly/api/xml?xpath=/jenkins/version | grep -vE '2.159|2.150.2'