🇰🇷 한글 설명
Jenkins 2.575 및 이전 버전, LTS 2.568.1 및 이전 버전에서 사용자 및 그룹 이름의 대소문자 구분 방식이 일관되지 않게 처리되는 취약점이 발견되었습니다. 공격자가 기존 사용자와 대소문자만 다른 이름으로 사용자나 그룹을 생성할 경우, 다른 사용자로 사칭하거나 권한을 탈취할 수 있습니다.
💡 쉬운 설명
사용자 이름의 대소문자를 구분하지 않는 허점을 이용해, 기존 사용자와 이름이 비슷하지만 대소문자만 다른 계정을 만들어 남의 권한을 훔치는 문제입니다. 이를 통해 공격자는 관리자 권한을 얻거나 다른 사람인 척 행동할 수 있습니다.
🇺🇸 원문 (English)
Jenkins 2.575 and earlier, LTS 2.568.1 and earlier handles case-insensitivity in user names and group names inconsistently, allowing attackers able to create new users or groups with names that case-insensitively match other characters to impersonate other users or be granted their permissions in some circumstances.
📍 영향받는 시스템
Jenkins 2.575 및 이전 버전, LTS 2.568.1 및 이전 버전
⚔️ 공격 벡터
대소문자 구분이 불분명한 점을 이용해 기존 계정과 유사한 이름의 계정을 생성하여 사칭
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Jenkins 버전이 2.575 미만이거나 LTS 2.568.1 미만인지 확인하십시오.
curl -s http://<jenkins-url>/jnlpJars/jenkins-core.jar | java -jar - --version 2>/dev/null || echo 'Check Jenkins version via UI or CLI'