🇰🇷 한글 설명
Jenkins Credentials Binding Plugin 1.17 버전에서 비밀번호가 복구 가능한 형식으로 저장되는 취약점이 발견되었습니다. 인증된 사용자가 Jenkins 작업을 생성하고 실행함으로써 저장된 자격 증명을 탈취할 수 있습니다.
💡 쉬운 설명
로그인 정보가 암호화되지 않고 쉽게 풀 수 있는 형태로 저장되어 있는 상태입니다. 권한이 있는 사용자가 악의적인 작업을 실행하면 다른 사람의 비밀번호를 알아낼 수 있습니다.
🇺🇸 원문 (English)
Jenkins Credentials Binding Plugin Jenkins 1.17 is affected by: CWE-257: Storing Passwords in a Recoverable Format. The impact is: Authenticated users can recover credentials. The component is: config-variables.jelly line #30 (passwordVariable). The attack vector is: Attacker creates and executes a Jenkins job.
📍 영향받는 시스템
Jenkins Credentials Binding Plugin 1.17 및 관련 Jenkins 환경
⚔️ 공격 벡터
인증된 공격자가 Jenkins 내에서 악의적인 작업을 생성하고 실행하여 자격 증명을 탈취함
🛡️ 대응 방법
Jenkins Credentials Binding Plugin을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 credentials-binding 플러그인의 버전을 확인하여 취약한 1.17 버전인지 체크합니다.
jenkins-plugin-manager --list | grep 'credentials-binding'