🇰🇷 한글 설명
Jenkins 2.158 및 이전 버전, LTS 2.150.1 및 이전 버전에서 부적절한 권한 부여 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 사용자 계정이 삭제된 후에도 활성 HTTP 세션의 지속 시간을 무기한으로 연장할 수 있습니다.
💡 쉬운 설명
사용자 계정을 삭제하더라도 이미 로그인된 상태라면 로그아웃되지 않고 계속 접속을 유지할 수 있는 문제입니다. 이는 삭제된 사용자가 시스템에 계속 남아 권한을 남용할 수 있는 위험을 초래합니다.
🇺🇸 원문 (English)
An improper authorization vulnerability exists in Jenkins 2.158 and earlier, LTS 2.150.1 and earlier in core/src/main/java/hudson/security/AuthenticationProcessingFilter2.java that allows attackers to extend the duration of active HTTP sessions indefinitely even though the user account may have been deleted in the mean time.
📍 영향받는 시스템
Jenkins 2.158 및 이전 버전, LTS 2.150.1 및 이전 버전
⚔️ 공격 벡터
삭제된 계정의 활성 HTTP 세션을 이용한 세션 유지 및 권한 남용
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 Jenkins 2.158 또는 LTS 2.150.1보다 낮은지 확인하십시오.
curl -s http://<jenkins-url>/jelly/api/json | grep -oP '"version":"\K[^"]+'