🇰🇷 한글 설명
Jenkins Pipeline Maven Integration Plugin 1.7.0 및 이전 버전에서 발생하는 XML 외부 엔티티(XXE) 취약점입니다. 공격자가 Maven 빌드를 실행하는 에이전트의 임시 디렉토리 내용을 제어할 수 있다면, 악의적으로 조작된 XML 파일을 통해 Jenkins 마스터의 비밀 정보를 탈취하거나 SSRF, DoS 공격을 수행할 수 있습니다.
💡 쉬운 설명
해커가 임시 파일을 조작하여 Jenkins 서버의 중요한 비밀번호를 훔치거나 서버를 마비시킬 수 있는 보안 약점입니다. 빌드 과정에서 사용하는 파일이 안전하지 않게 처리될 때 발생합니다.
🇺🇸 원문 (English)
An XML external entities (XXE) vulnerability in Jenkins Pipeline Maven Integration Plugin 1.7.0 and earlier allowed attackers able to control a temporary directory's content on the agent running the Maven build to have Jenkins parse a maliciously crafted XML file that uses external entities for extraction of secrets from the Jenkins master, server-side request forgery, or denial-of-service attacks.
📍 영향받는 시스템
Jenkins Pipeline Maven Integration Plugin 1.7.0 및 그 이전 버전
⚔️ 공격 벡터
에이전트의 임시 디렉토리에 조작된 XML 파일을 생성하여 Jenkins가 이를 파싱하도록 유도
🛡️ 대응 방법
Jenkins Pipeline Maven Integration Plugin을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 1.7.0 이하인지 확인하여 취약 여부를 판단합니다.
jenkins-plugin-manager --list | grep 'pipeline-maven-integration'