🔍 CVE-2025-67638

4.3
CVSS Score
MEDIUM
2025-12-10
2026-10-14 21:10
✅ 완료

🇰🇷 한글 설명

Jenkins 2.540 이전 버전과 LTS 2.528.2 이전 버전에서 작업 구성 형식에 표시되는 빌드 인증 토큰을 마스킹하지 않아 공격자가 이를 관찰하고 캡처할 가능성이 증가합니다.

💡 쉬운 설명

Jenkins의 빌드 인증 토큰이 노출되어 공격자가 이를 이용할 수 있습니다. 이는 Jenkins의 보안 취약점으로 인해 발생합니다. 공격자는 이 토큰을 사용하여 불법적인 빌드 작업을 수행할 수 있습니다.

🇺🇸 원문 (English)

Jenkins 2.540 and earlier, LTS 2.528.2 and earlier does not mask build authorization tokens displayed on the job configuration form, increasing the potential for attackers to observe and capture them.

📍 영향받는 시스템

Jenkins 2.540 이전 버전, LTS 2.528.2 이전 버전

⚔️ 공격 벡터

공격자가 Jenkins 작업 구성 형식에서 빌드 인증 토큰을 관찰하고 캡처하여 불법적인 빌드 작업을 수행

🛡️ 대응 방법

Jenkins를 최신 버전으로 업데이트하거나, 빌드 인증 토큰을 마스킹하는 플러그인을 설치하여 취약점을 해결

🔧 검증 코드

로컬에서 Jenkins가 실행 중이어야 하며, Python Requests 라이브러리가 설치되어 있어야 합니다. Jenkins가 8080 포트에서 실행 중인 경우에만 동작합니다. 코드를 실행하면 Jenkins 버전을 확인하여 취약점 여부를 판단합니다.

Shell / Script 
python -c "import requests; response = requests.get('http://localhost:8080/jenkins'); if 'Jenkins' in response.text and int(response.headers['X-Jenkins']) < 2541: print('{"result": "취약", "reason": "Jenkins 버전이 2.540 이전"}'); else: print('{"result": "양호", "reason": "Jenkins 버전이 2.540 이상"}')"

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

💻 영향받는 소프트웨어

Jenkins