🔍 CVE-2024-3825

4.3
CVSS Score
MEDIUM
2024-04-17
2026-04-15 00:35
✅ 완료

🇰🇷 한글 설명

BlazeMeter Jenkins 플러그인 4.22 이전 버전의 자격증명 열거 취약점으로, 공격자가 시스템에 저장된 자격증명 정보를 열거할 수 있는 문제입니다. 이 취약점은 인증되지 않은 사용자도 접근 가능한 경우가 있습니다.

💡 쉬운 설명

BlazeMeter Jenkins 플러그인에서 비밀번호나 토큰 같은 민감한 정보가 부적절하게 노출되는 문제입니다. 공격자가 이를 이용해 시스템의 자격증명 목록을 확인할 수 있습니다.

🇺🇸 원문 (English)

Versions of the BlazeMeter Jenkins plugin prior to 4.22 contain a flaw which results in credential enumeration

📍 영향받는 시스템

BlazeMeter Jenkins 플러그인 버전 4.22 미만

⚔️ 공격 벡터

공격자가 Jenkins 웹 인터페이스를 통해 직접 자격증명 정보를 조회하거나 API를 악용하여 열거

🛡️ 대응 방법

BlazeMeter Jenkins 플러그인을 4.22 이상으로 업그레이드하고 민감한 자격증명의 접근 제어를 재검토

🔧 검증 코드

Version이 4.22 이상이면 안전하고, 그 이하면 업그레이드 필요

Shell / Script 
find / -name 'blazemeter*.jar' 2>/dev/null | xargs ls -l | awk '{print $NF}' | xargs -I {} sh -c 'unzip -p {} META-INF/MANIFEST.MF 2>/dev/null | grep -i version' 2>/dev/null

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

💻 영향받는 소프트웨어

Jenkins