🇰🇷 한글 설명
Jenkins 2.213 및 이전 버전, LTS 2.204.1 및 이전 버전에서 Inbound TCP Agent Protocol/3의 암호화 키 매개변수를 부적절하게 재사용하는 취약점이 발견되었습니다. 공격자가 에이전트 이름을 알고 있다면 연결 비밀 정보를 획득할 수 있으며, 이를 통해 에이전트를 사칭하여 Jenkins에 접속할 수 있습니다.
💡 쉬운 설명
Jenkins 서버와 연결되는 에이전트의 암호화 키가 제대로 관리되지 않아 발생하는 문제입니다. 해커가 에이전트 이름을 알아내면 마치 정상적인 에이전트인 것처럼 속여서 Jenkins 시스템에 침입할 수 있습니다.
🇺🇸 원문 (English)
Jenkins 2.213 and earlier, LTS 2.204.1 and earlier improperly reuses encryption key parameters in the Inbound TCP Agent Protocol/3, allowing unauthorized attackers with knowledge of agent names to obtain the connection secrets for those agents, which can be used to connect to Jenkins, impersonating those agents.
📍 영향받는 시스템
Jenkins 2.213 및 이전 버전, LTS 2.204.1 및 이전 버전
⚔️ 공격 벡터
에이전트 이름을 알고 있는 공격자가 암호화 키 재사용 취약점을 이용해 연결 비밀 정보를 탈취한 후 에이전트를 사칭하여 접속
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 취약점이 해결된 버전(2.214 이상 또는 LTS 2.204.2 이상)인지 확인하십시오.
curl -s http://<JENKINS_URL>/jelly/api/xml?xpath=version | grep -v '2.214' && curl -s http://<JENKINS_URL>/jelly/api/xml?xpath=version | grep -v '2.204.2'