🇰🇷 한글 설명
Jenkins Android Lint Plugin 2.5 및 이전 버전에서 XML 외부 엔티티(XXE) 처리 취약점이 발견되었습니다. Jenkins 사용자 권한을 가진 공격자가 빌드 과정 중 파일을 조작하여 Jenkins 마스터의 비밀 정보를 탈취하거나, SSRF 공격 및 서비스 거부(DoS) 공격을 수행할 수 있습니다.
💡 쉬운 설명
빌드 도구가 외부의 악성 XML 파일을 잘못 읽어 들여 발생하는 보안 문제입니다. 이를 통해 해커가 서버 내부의 중요한 비밀번호를 훔치거나 서버를 마비시킬 수 있습니다.
🇺🇸 원문 (English)
Jenkins Android Lint Plugin 2.5 and earlier processes XML external entities in files it parses as part of the build process, allowing attackers with user permissions in Jenkins to extract secrets from the Jenkins master, perform server-side request forgery, or denial-of-service attacks.
📍 영향받는 시스템
Jenkins Android Lint Plugin 2.5 및 그 이전 버전
⚔️ 공격 벡터
Jenkins 사용자 권한을 이용한 악성 XML 파일 업로드 및 빌드 프로세스 유도
🛡️ 대응 방법
Jenkins Android Lint Plugin을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 android-lint 플러그인의 버전을 확인하고 2.5 이하인지 체크합니다.
jenkins-plugin-manager --list | grep 'android-lint' || echo 'Plugin not found via manager'