🇰🇷 한글 설명
Jenkins 2.587 이하 및 LTS 2.580.1 이하 버전에서는 HTTP Basic 인증(API 토큰 포함)으로 요청한 경우 "remember me" 쿠키를 발급받을 수 있습니다. 이로 인해 API 토큰이 폐기되거나 만료된 이후에도 해당 쿠키를 통해 Jenkins에 접근이 유지될 수 있습니다.
💡 쉬운 설명
Jenkins에서 API 토큰을 이용해 로그인하면 로그인 유지용 쿠키가 발급되는데, 이 쿠키가 토큰을 폐기한 뒤에도 계속 유효합니다. 따라서 토큰을 탈취한 공격자는 토큰을 무효화해도 Jenkins에 계속 접근할 수 있습니다.
🇺🇸 원문 (English)
Jenkins 2.587 and earlier, LTS 2.580.1 and earlier allows requests authenticated using HTTP Basic authentication, including with an API token, to obtain a "remember me" cookie, allowing attackers who have obtained a user's API token to retain access to Jenkins using a "remember me" cookie after the API token is revoked or expires.
📍 영향받는 시스템
Jenkins 2.587 이하 및 LTS 2.580.1 이하 버전
⚔️ 공격 벡터
API 토큰을 탈취한 공격자가 Basic 인증으로 "remember me" 쿠키를 얻은 뒤, 토큰 폐기 후에도 해당 쿠키로 Jenkins에 접근
🛡️ 대응 방법
Jenkins를 LTS 2.580.2 이상 또는 최신 weekly 버전으로 업데이트하고, 의심되는 API 토큰과 remember me 쿠키 세션을 모두 폐기 및 재발급
🔧 검증 코드
출력된 버전이 2.587 또는 LTS 2.580.1 이하이면 취약하며, 2.580.2 이상 또는 2.588 이상이면 패치된 것입니다.
java -jar jenkins.war --version 2>/dev/null || curl -sI http://localhost:8080/login | grep -i 'x-jenkins'