🇰🇷 한글 설명
Jenkins 2.218 및 이전 버전, LTS 2.204.1 및 이전 버전에서 whoAmI 진단 페이지의 사용자 상세 객체에 세션 식별자가 노출되는 취약점이 발견되었습니다. 이로 인해 공격자가 사용자의 세션 정보를 탈취할 위험이 있습니다.
💡 쉬운 설명
웹사이트의 관리자 페이지에서 사용자의 로그인 정보(세션 ID)가 실수로 화면에 노출되는 문제입니다. 해커가 이 정보를 가로채면 사용자인 척 로그인하여 시스템에 침입할 수 있습니다.
🇺🇸 원문 (English)
Jenkins 2.218 and earlier, LTS 2.204.1 and earlier exposed session identifiers on a user's detail object in the whoAmI diagnostic page.
📍 영향받는 시스템
Jenkins 2.218 및 이전 버전, LTS 2.204.1 및 이전 버전
⚔️ 공격 벡터
whoAmI 진단 페이지를 통해 노출된 세션 식별자를 탈취하여 세션 하이재킹 수행
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과에서 세션 ID와 유사한 문자열이 출력된다면 취약한 상태입니다.
curl -s http://<jenkins-url>/whoAmI | grep -i 'session'