🇰🇷 한글 설명
Jenkins Config File Provider 플러그인에서 제한된 권한(Overall/Read)의 사용자가 설정 파일 URL에 직접 접근하여 비밀번호 등의 민감한 정보를 열람할 수 있는 접근 제어 취약점입니다. 수정 후에는 파일 구성, 폴더 보기 또는 작업 구성 권한이 필요하도록 변경되었습니다.
💡 쉬운 설명
Jenkins의 설정 파일 저장소가 권한이 부족한 사용자에게 노출되어 암호 같은 민감 정보를 볼 수 있었습니다. 이제 접근 권한을 강화하여 필요한 사용자만 볼 수 있도록 수정되었습니다.
🇺🇸 원문 (English)
The Config File Provider Plugin is used to centrally manage configuration files that often include secrets, such as passwords. Users with only Overall/Read access to Jenkins were able to access URLs directly that allowed viewing these files. Access to view these files now requires sufficient permissions to configure the provided files, view the configuration of the folder in which the configuration files are defined, or have Job/Configure permissions to a job able to use these files.
📍 영향받는 시스템
Jenkins Config File Provider Plugin (버전 2.7.3 이전)
⚔️ 공격 벡터
Overall/Read 권한만 있는 사용자가 /configfiles/ 직접 URL 접근으로 설정 파일 내용 열람
🛡️ 대응 방법
Config File Provider Plugin을 2.7.3 이상으로 업그레이드하고 Jenkins 권한 정책 재검토
🔧 검증 코드
Bundle-Version이 2.7.3 이상이면 패치됨, 미만이면 취약점 존재
cat /var/lib/jenkins/plugins/config-file-provider/META-INF/MANIFEST.MF 2>/dev/null | grep -i 'Bundle-Version'