🇰🇷 한글 설명
Datadog 플러그인이 Jenkins 전역 설정 폼에서 API 키를 평문으로 전송하는 취약점입니다. 디스크에는 암호화되어 저장되지만 관리자가 설정 페이지를 볼 때 평문 전송되어 브라우저 확장 프로그램이나 XSS 공격으로 노출될 수 있습니다.
💡 쉬운 설명
Jenkins 관리자 페이지에서 Datadog API 키가 암호화되지 않은 상태로 전송되어 해커가 가로챌 수 있습니다. 업데이트된 버전에서는 이 키를 암호화하여 전송합니다.
🇺🇸 원문 (English)
The Datadog Plugin stores an API key to access the Datadog service in the global Jenkins configuration. While the API key is stored encrypted on disk, it was transmitted in plain text as part of the configuration form. This could result in exposure of the API key for example through browser extensions or cross-site scripting vulnerabilities. The Datadog Plugin now encrypts the API key transmitted to administrators viewing the global configuration form.
📍 영향받는 시스템
Jenkins Datadog Plugin 버전 1.608.0 이전
⚔️ 공격 벡터
중간자 공격(MITM), XSS, 브라우저 확장 프로그램을 통한 평문 API 키 탈취
🛡️ 대응 방법
Datadog Plugin을 1.608.1 이상으로 업데이트
🔧 검증 코드
명령어 실행 후 반환된 버전이 1.608.1 이상이면 안전, 이하이면 취약함
curl -s http://localhost:8080/pluginManager/api/json 2>/dev/null | grep -A 2 'datadog' | grep -oP '"version":"\K[^"]+' || echo 'Plugin not found'