Jenkins 치명적인 취약점 발견

https://www.sonarsource.com/blog/excessive-expansion-uncovering-critical-security-vulnerabilities-in-jenkins/

Excessive Expansion: Uncovering Critical Security Vulnerabilities in Jenkins

 

주요 내용

Sonar의 취약점 연구 팀은 최근 Jenkins의 보안 취약점을 발견했다. Jenkins는 선도적인 오픈 소스 CI/CD(Continuous Integration/Continuous Deployment) 소프트웨어다. CVE-2024-23897 취약점은, 무허가 공격자로 하여금 특정 임이의 파일을 또한 "read-only" 권한의 공격자로 하여금 Jenkins 서버의 모든 파일을 읽어올 수 있게 한다. 공격자는 Jenkins의 비밀 파일을 읽어들이며 admin으로의 권한상승과 함께, 결과적으로 서버에 임의의 코드를 실행시킬 수 있게 된다. 또한, CVE-2024-23898 취약점, cross-site WebSocket hijacking (CSWSH)는 피해자가 링크를 클릭하면 임의의 CLI 명령을 실행시킨다. 2023 Continuous Integration SW 시장 점유율 41% 라는 수치를 보면 해당 취약점이 얼마나 큰 파장을 불러올 수 있는지 알 수 있다.

Continuous Integration Software Market Share

 

CVE-2024-23897과 CVE-2024-23898에 관한 세부 설명은 아래 포스트를 참조하자.

2024.02.13 - [CVE exploit] - CVE-2024-23897 : Data Leak Vulnerability

2024.02.22 - [CVE exploit] - CVE-2024-23898 : CSWSH Vulnerability

 

패치 내용

Jenkins는 CVE-2024-23897에 대항하여 Jenkins 2.442, LTS 2.426.3 그리고 LTS 2.440.1버전부로 command parser 기능을 사용하지 못하게 하였다. 세부 설명 포스트를 확인하면 알 수 있겠지만, command parser 기능은 @문자와 파일 경로가 주어지면 해당 파일 내용과 이를 치환한다.

CVE-2024-23898에 대해서는 CLI WebSocket endpoint를 통해 생성된 요청은 origin을 검증하는 방향으로 패치하였다.

또한, 즉각적인 업데이트가 불가능할 경우 차선책으로 CLI 접근은 제한하는 방법을 제시하였다.