최근에, Jenkins에서 최근 패치된 중대한 취약점(CVE-2024-23897)에 대한 몇 가지 PoC(Proof-of-concept) exploit이 공개되었으며 생산 환경에서의 악용 사례가 발견되고 있다는 증거가 있다.
CVE-2024-23897:
Jenkins는 개발자가 응용 프로그램을 구축, 테스트, 배포할 수 있도록 도와주는 널리 사용되는 Java 기반의 자동화 서버로서, 지속적 통합(CI) 및 지속적 제공(CD)을 가능하게 한다. CVE-2024-23897은 Jenkins CLI 명령줄에서 Overall/Read 권한이 있는 인가되지 않은 위협 요소가 Jenkins의 파일 시스템에서 모든 파일을 읽을 수 있는 취약점으로, Jenkins에 저장된 중요한 정보가 위협될 수 있다.
이 취약점은 또한 여러 Jenkins 기능에서 사용되는 암호화 키가 포함된 이진 파일을 읽을 수 있는데, 특정 제한 사항이 존재한다. 이러한 중요한 정보에 접근하는 것은 다음과 같은 결과를 초래할 수 있다:
– 리소스 소스 URL을 사용한 원격 코드 실행
– “Remember me” 쿠키를 이용한 원격 코드 실행
– 빌드 로그를 통한 크로스 사이트 스크립팅(XSS)을 통한 원격 코드 실행
– CSRF 보호 우회를 통한 원격 코드 실행
– Jenkins에 저장된 기밀 정보의 해독
– Jenkins의 어떤 요소든 삭제
– Java 힙 덤프 다운로드
또한, 저자 소스 기반 취약점 연구 팀(SonarSource Vulnerability Research team)에 의해 보고된 WebSocket 사이트 간 탈취(CVE-2024-23898) 취약점에 대해서도 Jenkins에서 공개하였다. 이 취약점은 높은 수준의 위협을 가지며, 피해자를 속여 악성 링크를 클릭하게 함으로써 위협 요소가 임의 CLI 명령을 실행할 수 있게 한다.
공개적인 악용:
PoC(CVE-2024-23897)는 공개적으로 공개되었으며, 이를 통해 공격자가 패치되지 않은 Jenkins 서버를 침해할 수 있다. 또한, 생산 환경에서도 이 취약점에 대한 악용 사례가 보고되고 있다.
모든 취약점은 Jenkins 버전 2.442와 LTS 2.426.3에서 수정되었으므로 사용자는 가능한 빠른 시일 내에 패치를 적용하는 것이 강력히 권장된다. 대안 방안도 제공되고 있다.
FAQ 섹션 – 주요 주제와 기사에서 제공된 정보에 기반한 질문:
1. Jenkins는 무엇인가요?
Jenkins는 지속적 통합(CI) 및 지속적 제공(CD)을 통해 개발자들이 응용 프로그램을 구축, 테스트 및 배포하는 데 도움을 주는 인기있는 Java 기반의 자동화 서버입니다.
2. Jenkins의 CVE-2024-23897 취약점은 무엇인가요?
CVE-2024-23897은 Jenkins CLI 명령줄을 사용하여 Jenkins 컨트롤러의 파일 시스템의 모든 파일을 읽을 수 있는 Overall/Read 권한이 없는 사용자에게 취약점을 제공합니다. 사용자는 파일의 처음 몇 줄만 읽을 수 있습니다.
3. 이 취약점과 관련된 잠재적인 위협은 무엇인가요?
이 취약점은 리소스 소스 URL을 사용한 원격 코드 실행, “Remember me” 쿠키를 사용한 원격 코드 실행, 빌드 로그를 통한 크로스 사이트 스크립팅(XSS)을 통한 원격 코드 실행, CSRF 보호 우회를 통한 원격 코드 실행, Jenkins에 저장된 기밀 정보의 해독, Jenkins의 어떤 요소든 삭제 및 Java 힙 덤프 다운로드와 같은 결과를 초래할 수 있습니다.
4. Jenkins의 CVE-2024-23898 취약점은 무엇인가요?
CVE-2024-23898 취약점은 사이트 간 WebSocket 탈취를 의미하며, 피해자를 속여 악성 링크를 클릭하게 함으로써 위협 요소가 임의 CLI 명령을 실행할 수 있습니다.
5. 이러한 취약점들은 누가 보고했나요?
두 취약점은 저자 소스 기반 취약점 연구 팀에 의해 보고되었습니다.
6. 이러한 취약점에 대한 공개적인 악용 증거가 있나요?
네, CVE-2024-23897 취약점에 대한 PoC(Proof-of-concept) exploit이 공개적으로 공개되었으며, 이를 통해 공격자가 패치되지 않은 Jenkins 서버를 침해할 수 있습니다. 생산 환경에서 이 취약점에 대한 악용 사례도 보고되고 있습니다.
7. 취약점이 수정된 권장 Jenkins 버전은 무엇인가요?
취약점은 Jenkins 버전 2.442와 LTS 2.426.3에서 수정되었습니다. Jenkins 사용자는 가능한 빠른 시일 내에 패치를 적용하거나 대체 방안을 사용할 것을 권장합니다.
8. 관련된 링크가 있나요?
공식 웹사이트인 https://jenkins.io/에서 Jenkins에 대한 자세한 정보를 찾을 수 있습니다.
9. 이 주제에 대한 다른 기사가 있나요?
이 주제에 대한 다른 기사는 없으며, 이 취약점에 관한 세부 정보는 원본 기사에서 확인할 수 있습니다.
The source of the article is from the blog tvbzorg.com