🇰🇷 한글 설명
Ansible의 jenkins_plugin 모듈이 params 인자를 통해 비밀번호를 부적절하게 처리하여 원격 공격자가 호스트 로그에서 민감한 정보를 노출시킬 수 있는 취약점입니다. 이는 params 인자에 비밀번호 지정을 금지하고 모듈 문서화를 통해 개선되었습니다.
💡 쉬운 설명
Ansible의 jenkins_plugin 기능에서 비밀번호가 로그에 그대로 기록되어 노출되는 보안 문제가 있었습니다. 비밀번호를 특정 방식으로 설정하지 않도록 변경하여 이 문제를 해결했습니다.
🇺🇸 원문 (English)
A flaw was found in the way Ansible (2.3.x before 2.3.3, and 2.4.x before 2.4.1) passed certain parameters to the jenkins_plugin module. Remote attackers could use this flaw to expose sensitive information from a remote host's logs. This flaw was fixed by not allowing passwords to be specified in the "params" argument, and noting this in the module documentation.
📍 영향받는 시스템
Ansible 2.3.x (2.3.3 이전), 2.4.x (2.4.1 이전)
⚔️ 공격 벡터
jenkins_plugin 모듈의 params 인자에 비밀번호를 포함시켜 원격 호스트 로그에서 민감한 정보 추출
🛡️ 대응 방법
Ansible을 2.3.3 이상 또는 2.4.1 이상으로 업그레이드하고 jenkins_plugin 사용 시 비밀번호를 params 인자에 직접 지정하지 않기
🔧 검증 코드
2.3.3 미만의 2.3.x 또는 2.4.1 미만의 2.4.x 버전이 출력되면 취약하며, 해당 버전 이상이 표시되면 패치됨
ansible --version | grep -oE '2\.[34]\.[0-9]+'