🇰🇷 한글 설명
Jenkins 2.579 및 이전 버전, LTS 2.568.2 및 이전 버전에서 'remember me' 쿠키를 통한 인증 시 세션이 교체되지 않는 취약점이 존재합니다. 공격자가 Jenkins와 동일한 사이트에서 콘텐츠를 제공할 수 있다면, 피해자의 브라우저에 알려진 세션 쿠키를 설정하여 피해자가 인증된 후 해당 사용자의 권한으로 Jenkins에 접근할 수 있습니다.
💡 쉬운 설명
로그인 유지 기능을 사용할 때 보안 토큰이 새로 바뀌지 않아 발생하는 문제입니다. 공격자가 미리 심어둔 가짜 쿠키를 통해 사용자의 계정을 탈취하여 Jenkins에 몰래 접속할 수 있습니다.
🇺🇸 원문 (English)
In Jenkins 2.579 and earlier, LTS 2.568.2 and earlier, Jenkins does not rotate the session when a user is authenticated via the "remember me" cookie, allowing attackers able to serve content on the same site as Jenkins to set a known session cookie in the victim's browser, which after the victim authenticates via the "remember me" cookie, grants the attacker access to Jenkins as that user.
📍 영향받는 시스템
Jenkins 2.579 및 이전 버전, LTS 2.568.2 및 이전 버전
⚔️ 공격 벡터
동일 도메인 내의 악성 콘텐츠를 통한 세션 고정(Session Fixation) 공격
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위(2.579 이하 또는 2.568.2 이하)에 해당하면 취약한 상태입니다.
curl -s http://<jenkins-url>/jelly/api/json | grep -E '"version":"(2\.579|2\.568\.2|[0-9]+\.[0-9]+\.[0-9]+)"'