🇰🇷 한글 설명
Jenkins Configuration as Code Plugin 0.7-alpha 및 이전 버전의 ConfigurationAsCode.java에서 민감한 정보가 노출되는 취약점이 발견되었습니다. Overall/Read 권한을 가진 공격자가 Jenkins 설정의 YAML 내보내기 파일을 획득할 수 있습니다.
💡 쉬운 설명
Jenkins 설정을 관리하는 플러그인에서 보안 설정 정보가 외부로 유출될 수 있는 문제입니다. 읽기 권한만 있는 사용자라도 시스템의 중요한 설정 내용을 모두 볼 수 있어 위험합니다.
🇺🇸 원문 (English)
A exposure of sensitive information vulnerability exists in Jenkins Configuration as Code Plugin 0.7-alpha and earlier in ConfigurationAsCode.java that allows attackers with Overall/Read access to obtain the YAML export of the Jenkins configuration.
📍 영향받는 시스템
Jenkins Configuration as Code Plugin 0.7-alpha 및 그 이전 버전
⚔️ 공격 벡터
Overall/Read 권한을 가진 사용자가 YAML 내보내기 기능을 호출하여 설정 정보 탈취
🛡️ 대응 방법
Jenkins Configuration as Code Plugin을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에 0.7-alpha 이하의 버전 번호가 포함되어 있다면 취약한 상태입니다.
curl -s http://<JENKINS_URL>/plugin/configuration-as-code/api/version | grep -E '"version": "0.7-alpha"|0.6|0.5'