🇰🇷 한글 설명
Jenkins Credentials Binding Plugin 1.14 및 이전 버전은 빌드 프로세스에 제공되는 비밀번호를 로그에서 마스킹 처리합니다. 그러나 Jenkins가 환경 변수 참조를 교체하는 과정에서 원래 비밀번호와 유사하지만 다른 값이 생성될 수 있으며, 이 변형된 값은 마스킹 대상에서 제외되어 권한이 없는 사용자가 원래 비밀번호를 유추할 수 있습니다.
💡 쉬운 설명
비밀번호를 로그에 남기지 않도록 숨겨주는 기능이 완벽하지 않아, 변형된 비밀번호가 로그에 그대로 노출될 수 있는 문제입니다. 이를 통해 해커가 원래 비밀번호를 알아낼 위험이 있습니다.
🇺🇸 원문 (English)
Jenkins Credentials Binding Plugin 1.14 and earlier masks passwords it provides to build processes in their build logs. Jenkins however transforms provided password values, e.g. replacing environment variable references, which could result in values different from but similar to configured passwords being provided to the build. Those values are not subject to masking, and could allow unauthorized users to recover the original password.
📍 영향받는 시스템
Jenkins Credentials Binding Plugin 1.14 및 그 이전 버전
⚔️ 공격 벡터
빌드 로그에 마스킹되지 않은 변형된 비밀번호 값이 노출되는 것을 이용한 정보 유출
🛡️ 대응 방법
Jenkins Credentials Binding Plugin을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.14 이하인지 확인하여 취약 여부를 판단합니다.
jenkins-plugin-cli list | grep credentials-binding