🇰🇷 한글 설명
Jenkins 2.73.1 및 2.83 이전 버전의 비밀번호 입력 폼 검증 과정에서 발생하는 취약점입니다. 검증 요청이 GET 방식으로 전송되어 비밀번호와 같은 민감한 정보가 HTTP 액세스 로그에 기록될 수 있는 위험이 있습니다.
💡 쉬운 설명
비밀번호를 입력할 때 시스템이 이를 확인하는 과정에서 비밀번호가 기록 파일에 그대로 남을 수 있는 문제입니다. 이로 인해 로그 파일을 볼 수 있는 사람이 비밀번호를 훔쳐볼 위험이 있습니다.
🇺🇸 원문 (English)
The Jenkins 2.73.1 and earlier, 2.83 and earlier default form control for passwords and other secrets, <f:password/>, supports form validation (e.g. for API keys). The form validation AJAX requests were sent via GET, which could result in secrets being logged to a HTTP access log in non-default configurations of Jenkins, and made available to users with access to these log files. Form validation for <f:password/> is now always sent via POST, which is typically not logged.
📍 영향받는 시스템
Jenkins 2.73.1 및 2.83 이하 버전
⚔️ 공격 벡터
GET 요청을 통한 민감 정보의 HTTP 액세스 로그 노출
🛡️ 대응 방법
Jenkins를 최신 버전으로 업데이트하여 비밀번호 검증 시 POST 방식을 사용하도록 수정
🔧 검증 코드
출력된 버전 번호가 2.73.1 및 2.83보다 높은지 확인하십시오.
curl -s http://<jenkins-url>/jelly/api/xml?xpath=/jenkins/version