🇰🇷 한글 설명
Jenkins 2.171 및 이전 버전과 Jenkins LTS 2.164.1 및 이전 버전에서 발생하는 취약점입니다. CVE-2019-1003004에 대한 수정 사항이 기존의 remoting 기반 CLI 인증 캐시를 거부하지 못하여, 업데이트 전 인증 정보를 캐시한 사용자가 인증된 상태로 유지될 수 있습니다.
💡 쉬운 설명
Jenkins를 업데이트하더라도 이전에 로그인했던 정보가 시스템에 남아있어 보안이 유지되지 않는 문제입니다. 공격자가 이 캐시된 정보를 이용하면 권한 없이 시스템에 접속할 수 있습니다.
🇺🇸 원문 (English)
Users who cached their CLI authentication before Jenkins was updated to 2.150.2 and newer, or 2.160 and newer, would remain authenticated in Jenkins 2.171 and earlier and Jenkins LTS 2.164.1 and earlier, because the fix for CVE-2019-1003004 in these releases did not reject existing remoting-based CLI authentication caches.
📍 영향받는 시스템
Jenkins 2.171 이하 버전 및 Jenkins LTS 2.164.1 이하 버전
⚔️ 공격 벡터
기존에 캐시된 CLI 인증 정보를 이용한 remoting 기반의 인증 우회 공격
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전(2.172 이상 또는 LTS 2.164.2 이상)으로 업데이트하십시오.
🔧 검증 코드
출력되는 버전 정보가 취약한 버전 범위에 해당하면 보안 업데이트가 필요함을 의미합니다.
curl -s http://<JENKINS_URL>/jnlpJ败/api/json | grep -E '"version":"(2\.[0-9]{3}|[0-9]\.[0-9]{3})"' | grep -vE '2\.(17[2-9]|1[7-9][0-9]|[2-9][0-9]{2}|[1-9][0-9]{3})|LTS 2\.(16[5-9]|1[7-9][0-9]|[2-9][0-9]{2}|[1-9][0-9]{3})'