🇰🇷 한글 설명
Jenkins GitHub Authentication Plugin 0.29 및 이전 버전의 GithubSecurityRealm/config.jelly에서 민감한 정보가 노출되는 취약점이 발견되었습니다. 공격자가 Jenkins 관리자의 웹 브라우저 출력을 보거나 브라우저를 제어할 수 있다면 설정된 클라이언트 비밀번호(client secret)를 탈취할 수 있습니다.
💡 쉬운 설명
관리자가 사용하는 웹 브라우저를 통해 Jenkins의 중요한 비밀번호가 유출될 수 있는 보안 약점입니다. 악성 확장 프로그램 등을 통해 관리자의 화면 정보를 훔쳐보는 방식으로 공격이 이루어질 수 있습니다.
🇺🇸 원문 (English)
An exposure of sensitive information vulnerability exists in Jenkins GitHub Authentication Plugin 0.29 and earlier in GithubSecurityRealm/config.jelly that allows attackers able to view a Jenkins administrator's web browser output, or control the browser (e.g. malicious extension) to retrieve the configured client secret.
📍 영향받는 시스템
Jenkins GitHub Authentication Plugin 0.29 및 그 이전 버전
⚔️ 공격 벡터
관리자의 웹 브라우저 출력물 탈취 또는 악성 브라우저 확장 프로그램을 통한 제어
🛡️ 대응 방법
Jenkins GitHub Authentication Plugin을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.29보다 높은지 확인하여 취약 여부를 판단합니다.
jenkins-plugin-cli list | grep github-authentication