🇰🇷 한글 설명
Jenkins Active Directory 플러그인 2.41.1 및 이전 버전에서 사용자 이름을 LDAP 검색 필터 생성 시 적절히 이스케이프하지 않는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 LDAP 와일드카드 문자를 주입하여 디렉터리 항목을 열거하거나, 정확한 사용자 이름을 모르더라도 비밀번호를 아는 사용자로 인증을 시도할 수 있습니다.
💡 쉬운 설명
로그인할 때 사용자 이름 칸에 특수 기호를 넣어 시스템을 속이는 공격입니다. 이를 통해 공격자는 사용자 이름을 몰라도 비밀번호만 알면 특정 계정으로 접속을 시도할 수 있습니다.
🇺🇸 원문 (English)
Jenkins Active Directory Plugin 2.41.1 and earlier does not escape the user name before building the LDAP search filter in the Windows native (ADSI) authentication path, allowing unauthenticated attackers to inject LDAP wildcard characters to enumerate directory entries and to authenticate as a matching user whose password they know without knowing their exact user name.
📍 영향받는 시스템
Jenkins Active Directory Plugin 2.41.1 및 그 이전 버전
⚔️ 공격 벡터
인증되지 않은 공격자가 LDAP 검색 필터에 와일드카드 문자를 주입하는 방식
🛡️ 대응 방법
Jenkins Active Directory 플러그인을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 2.41.1 이하인지 확인하십시오.
jenkins-plugin-cli list | grep active-directory