🇰🇷 한글 설명
Jenkins 2.587 이하 및 LTS 2.580.1 이하 버전에서 최초 사용자 계정 생성 HTTP 엔드포인트가 설정 마법사 완료 여부를 확인하지 않습니다. 이로 인해 초기 사용자 계정이 교체되는 동안 경쟁 조건(race condition)이 발생하며, 인증되지 않은 공격자가 관리자 계정을 생성할 수 있습니다.
💡 쉬운 설명
Jenkins 초기 설정 과정에서 빈틈이 있어, 로그인하지 않은 사람도 관리자 계정을 만들 수 있습니다. 공격자가 서버를 완전히 장악할 위험이 있습니다.
🇺🇸 원문 (English)
In Jenkins 2.587 and earlier, LTS 2.580.1 and earlier, the HTTP endpoint for creating the first user account does not check whether the setup wizard has been completed, resulting in a race condition that allows unauthenticated attackers to create an administrator account while the initial user account is being replaced.
📍 영향받는 시스템
Jenkins 2.587 이하, LTS 2.580.1 이하 버전
⚔️ 공격 벡터
설정 마법사 완료 전 최초 사용자 생성 엔드포인트에 요청을 반복 전송하여 경쟁 조건을 이용해 인증 없이 관리자 계정을 생성
🛡️ 대응 방법
Jenkins를 최신 보안 릴리스(LTS 2.580.2 이상 또는 최신 주간 버전)로 업그레이드하고, 설정 마법사를 즉시 완료하거나 외부 접근을 차단
🔧 검증 코드
출력된 버전이 2.587 이하 또는 LTS 2.580.1 이하이면 취약하며, 2.587 초과 또는 LTS 2.580.2 이상이면 패치된 버전입니다.
java -jar jenkins.war --version 2>/dev/null || curl -s http://localhost:8080/login | grep -io 'jenkins-version[^>]*' | head -1