🇰🇷 한글 설명
Jenkins FindBugs Plugin 4.71 및 이전 버전에서 XML 외부 엔티티(XXE) 취약점이 발견되었습니다. 이를 통해 권한을 가진 사용자가 Jenkins 마스터의 비밀 정보를 탈취하거나, 서버 측 요청 위조(SSRF) 및 서비스 거부(DoS) 공격을 수행할 수 있습니다.
💡 쉬운 설명
파일을 읽는 과정에서 악성 코드가 포함된 XML 파일을 처리할 때 발생하는 보안 허점입니다. 공격자가 이 허점을 이용해 서버의 중요한 정보를 훔치거나 서버를 마비시킬 수 있습니다.
🇺🇸 원문 (English)
Jenkins FindBugs Plugin 4.71 and earlier processes XML external entities in files it parses as part of the build process, allowing attackers with user permissions in Jenkins to extract secrets from the Jenkins master, perform server-side request forgery, or denial-of-service attacks.
📍 영향받는 시스템
Jenkins FindBugs Plugin 4.71 및 그 이전 모든 버전
⚔️ 공격 벡터
권한을 가진 사용자가 빌드 프로세스 중에 조작된 XML 파일을 업로드하여 공격 수행
🛡️ 대응 방법
FindBugs Plugin을 최신 버전(4.72 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 FindBugs 플러그인의 버전이 4.71 이하인지 확인하십시오.
jenkins-plugin-manager --list-plugins | grep findbugs