🇰🇷 한글 설명
Jenkins Repository Connector Plugin 1.2.4 및 이전 버전에서 자격 증명이 충분히 보호되지 않는 취약점이 발견되었습니다. 공격자가 로컬 파일 시스템에 접근하거나 관리자의 웹 브라우저를 제어할 수 있는 경우, 플러그인 설정에 저장된 비밀번호를 탈취할 수 있습니다.
💡 쉬운 설명
Jenkins 플러그인에 저장된 비밀번호가 제대로 암호화되지 않아 유출될 위험이 있는 문제입니다. 해커가 컴퓨터 내부 파일에 접근하거나 사용자의 브라우저를 조작하면 비밀번호를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
An insufficiently protected credentials vulnerability exists in Jenkins Repository Connector Plugin 1.2.4 and earlier in src/main/java/org/jvnet/hudson/plugins/repositoryconnector/ArtifactDeployer.java, src/main/java/org/jvnet/hudson/plugins/repositoryconnector/Repository.java, src/main/java/org/jvnet/hudson/plugins/repositoryconnector/UserPwd.java that allows an attacker with local file system access or control of a Jenkins administrator's web browser (e.g. malicious extension) to retrieve the password stored in the plugin configuration.
📍 영향받는 시스템
Jenkins Repository Connector Plugin 1.2.4 및 그 이전 버전
⚔️ 공격 벡터
로컬 파일 시스템 접근 또는 관리자 웹 브라우저 제어 (예: 악성 확장 프로그램)
🛡️ 대응 방법
Jenkins Repository Connector Plugin을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.2.4 이하인지 확인하여 취약 여부를 판단합니다.
grep -r "repository-connector" $JENKINS_HOME/plugins/ 2>/dev/null | grep -oE "version-[0-9]+\.[0-9]+\.[0-9]+"