🇰🇷 한글 설명
Jenkins SSH Agent Plugin 1.15 및 이전 버전의 SSHAgentStepExecution.java에서 민감한 정보 노출 취약점이 발견되었습니다. 빌드 로그를 읽을 수 있는 권한을 가진 사용자가 SSH 개인 키 비밀번호를 확인할 수 있는 위험이 있습니다.
💡 쉬운 설명
빌드 기록을 볼 수 있는 권한만 있으면 중요한 SSH 비밀번호가 로그에 그대로 노출되는 문제입니다. 이를 통해 권한이 낮은 사용자가 서버 접속 권한을 탈취할 수 있습니다.
🇺🇸 원문 (English)
An exposure of sensitive information vulnerability exists in Jenkins SSH Agent Plugin 1.15 and earlier in SSHAgentStepExecution.java that exposes the SSH private key password to users with permission to read the build log.
📍 영향받는 시스템
Jenkins SSH Agent Plugin 1.15 및 그 이전 버전
⚔️ 공격 벡터
빌드 로그를 읽을 수 있는 권한을 이용해 로그 파일 내에 노출된 SSH 비밀번호를 확인
🛡️ 대응 방법
Jenkins SSH Agent Plugin을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.15 이하인 경우 해당 취약점에 노출된 상태입니다.
curl -s http://<JENKINS_URL>/plugin/ssh-agent/api/json | jq -r '.version' | grep -E '^([0-1]\.[0-9]|1\.1[0-5])$'