🇰🇷 한글 설명
Jenkins vSphere Plugin 2.16 및 이전 버전의 Clone.java를 포함한 여러 파일에서 부적절한 권한 부여 취약점이 발견되었습니다. 공격자는 이를 통해 vSphere 서버에 다수의 요청을 보내 서비스 거부(DoS)를 유발하거나, Jenkins에 저장된 자격 증명을 공격자가 지정한 서버로 전송하도록 유도할 수 있습니다.
💡 쉬운 설명
해커가 권한 없이 Jenkins의 vSphere 플러그인을 조작하여 서버를 마비시키거나, 저장된 비밀번호를 몰래 빼갈 수 있는 보안 구멍입니다. '연결 테스트' 기능을 악용해 중요한 정보를 외부로 유출할 위험이 있습니다.
🇺🇸 원문 (English)
An improper authorization vulnerability exists in Jenkins vSphere Plugin 2.16 and older in Clone.java, CloudSelectorParameter.java, ConvertToTemplate.java, ConvertToVm.java, Delete.java, DeleteSnapshot.java, Deploy.java, ExposeGuestInfo.java, FolderVSphereCloudProperty.java, PowerOff.java, PowerOn.java, Reconfigure.java, Rename.java, RenameSnapshot.java, RevertToSnapshot.java, SuspendVm.java, TakeSnapshot.java, VSphereBuildStepContainer.java, vSphereCloudProvisionedSlave.java, vSphereCloudSlave.java, vSphereCloudSlaveTemplate.java, VSphereConnectionConfig.java, vSphereStep.java that allows attackers to perform form validation related actions, including sending numerous requests to the configured vSphere server, potentially resulting in denial of service, or send credentials stored in Jenkins with known ID to an attacker-specified server ("test connection").
📍 영향받는 시스템
Jenkins vSphere Plugin 2.16 및 그 이전 버전
⚔️ 공격 벡터
플러그인의 권한 검증 미흡을 악용한 부적절한 요청 전송 및 자격 증명 탈취
🛡️ 대응 방법
Jenkins vSphere Plugin을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 vsphere 플러그인의 버전이 2.16 이하인지 확인하십시오.
jenkins-plugin-cli list | grep vsphere