|
[CVE-2020-2184] Jenkins CVS Plugin CSRF 침해사고분석팀 2020.12.18 |
|
|
Jenkins CVS Plugin에 사이트 간 요청 위조(Cross-Site Request Forgery) 취약점이 존재합니다.
Jenkins는 Apache와 같은 서블릿 컨테이너에서 실행되는 오픈소스 CL(Continuous Integration) 서버 입니다.
Tomcat, CVS, AccuRev, Subversion, Git, Mercurial, Perforce와 같은 다양한 버전 제어 소프트웨어를 지원합니다.
원격의 공격자는 잘못된 형식의 HTTP 요청을 보내 인증된 사용자가 악의적인 웹 사이트를 방문하도록 유도함으로써 공격할 수 있습니다.
취약점 설명
NVD - CVE-2020-2184 CVSS v2.0 Severity and Metrics: Base Score: 4.3 MEDIUM
[그림1. NVD 내역]
취약점 분석
해당 취약점은 사용자가 제공한 입력의 잘못된 유효성 검사로 인해 발생합니다. Jenkins는 기본적으로 CSRF에 대한 보호 기능을 포함하고 있지만, POST 외 요청에 대해서는 보호 기능이 동작하지 않습니다.
공격은 아래와 같은 형태로 이루어 집니다.
GET /descriptorByName/hudson.scm.browsers.FishEyeCVS/checkUrl?=Abnormal_UR
공격 분석
CVE-2020-2184 공격 패킷은 다음과 같습니다.
[그림2. 공격 패킷]
취약점 대응 방안
1. 최신 버전 사용
해당 벤더사의 홈페이지를 참고하여 최신의 버전으로 업데이트 합니다.
https://www.jenkins.io/security/advisory/2020-05-06/#SECURITY-1094
2. WINS Sniper 제품군 대응 방안
Jenkins CVS Plugin descriptorByName CSRF
|
