🇰🇷 한글 설명
Jenkins Active Directory 플러그인 2.41 이하에서 LDAP 리디렉션(referral) 데이터를 검증 없이 역직렬화하는 취약점입니다. 공격자가 악의적인 LDAP 서버로 리디렉션을 유도하여 임의의 객체를 역직렬화시키면 원격 코드 실행이 가능합니다.
💡 쉬운 설명
Jenkins가 LDAP 로그인 시 받은 서버 응답을 아무 검증 없이 처리합니다. 공격자는 가짜 LDAP 서버를 만들어 악의적인 명령을 실행하도록 속일 수 있습니다.
🇺🇸 원문 (English)
Jenkins Active Directory Plugin 2.41 and earlier deserializes data from LDAP referrals without validation.
📍 영향받는 시스템
Jenkins Active Directory Plugin v2.41 이하
⚔️ 공격 벡터
LDAP 서버 리디렉션을 통한 악의적 직렬화 객체 주입으로 원격 코드 실행
🛡️ 대응 방법
Active Directory 플러그인을 2.42 이상으로 업그레이드
🔧 검증 코드
명령어 출력에서 버전이 2.42 이상이면 패치됨, 2.41 이하면 취약함
unzip -p /var/lib/jenkins/plugins/active-directory.jpi META-INF/MANIFEST.MF 2>/dev/null | grep Implementation-Version