🇰🇷 한글 설명
Jenkins 2.227 및 이전 버전, LTS 2.204.5 및 이전 버전에서 요청 URL 경로의 표현 방식 차이로 인해 발생합니다. 공격자는 이를 악용하여 특수하게 조작된 URL을 통해 모든 대상 URL의 CSRF 보호 기능을 우회할 수 있습니다.
💡 쉬운 설명
웹사이트의 보안 장치를 속이는 특수한 주소를 만들어 사용자가 모르는 사이에 원치 않는 동작을 수행하게 만드는 공격입니다. 이를 통해 공격자가 사용자의 권한을 도용하여 설정을 변경하거나 악성 동작을 실행할 수 있습니다.
🇺🇸 원문 (English)
Jenkins 2.227 and earlier, LTS 2.204.5 and earlier uses different representations of request URL paths, which allows attackers to craft URLs that allow bypassing CSRF protection of any target URL.
📍 영향받는 시스템
Jenkins 2.227 및 이전 버전, LTS 2.204.5 및 이전 버전
⚔️ 공격 벡터
URL 경로 표현 방식의 차이를 이용한 CSRF(교차 사이트 요청 위조) 보호 우회 공격
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Jenkins 버전이 취약한 버전 범위(2.227 미만 또는 LTS 2.204.5 미만)에 해당하는지 확인하십시오.
curl -s http://<jenkins-url>/jnlpJars/jenkins-cli.jar | java -jar - --version 2>/dev/null || echo 'Check Jenkins version via UI or API'