🇰🇷 한글 설명
Jenkins Active Directory 플러그인 2.10 및 이전 버전에서 부적절한 인증서 검증 취약점이 발견되었습니다. Jenkins가 StartTLS를 사용하도록 설정된 경우, 공격자가 인증을 위해 연결되는 Active Directory 서버를 사칭할 수 있습니다.
💡 쉬운 설명
로그인 정보를 확인하는 서버가 진짜인지 확인하는 과정에 문제가 있는 상태입니다. 해커가 가짜 서버를 만들어 사용자의 로그인 정보를 가로챌 수 있습니다.
🇺🇸 원문 (English)
An improper certificate validation vulnerability exists in Jenkins Active Directory Plugin 2.10 and earlier in src/main/java/hudson/plugins/active_directory/ActiveDirectoryDomain.java, src/main/java/hudson/plugins/active_directory/ActiveDirectorySecurityRealm.java, src/main/java/hudson/plugins/active_directory/ActiveDirectoryUnixAuthenticationProvider.java that allows attackers to impersonate the Active Directory server Jenkins connects to for authentication if Jenkins is configured to use StartTLS.
📍 영향받는 시스템
Jenkins Active Directory Plugin 2.10 및 그 이전 버전
⚔️ 공격 벡터
StartTLS 설정 시 중간자 공격(MitM)을 통한 Active Directory 서버 사칭
🛡️ 대응 방법
Jenkins Active Directory 플러그인을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 active-directory 플러그인의 버전이 2.10 이하인지 확인하십시오.
jenkins-plugin-cli list | grep active-directory