🇰🇷 한글 설명
Jenkins Gitea Plugin 1.1.1 및 이전 버전에서 신뢰할 수 있는 리비전을 구현하지 않아 발생하는 취약점입니다. 이로 인해 Git 저장소에 커밋 권한이 없는 공격자가 Jenkinsfile을 변경할 수 있습니다.
💡 쉬운 설명
코드 저장소에 직접 글을 쓸 권한이 없는 사람도 빌드 설정 파일을 몰래 바꿀 수 있는 문제입니다. 이를 통해 악의적인 명령어를 실행하도록 빌드 과정을 조작할 수 있습니다.
🇺🇸 원문 (English)
Jenkins Gitea Plugin 1.1.1 and earlier did not implement trusted revisions, allowing attackers without commit access to the Git repo to change Jenkinsfiles even if Jenkins is configured to consider them to be untrusted.
📍 영향받는 시스템
Jenkins Gitea Plugin 1.1.1 및 그 이전 버전
⚔️ 공격 벡터
Git 저장소의 커밋 권한이 없는 공격자가 Jenkinsfile을 조작하여 빌드 파이프라인을 탈취
🛡️ 대응 방법
Jenkins Gitea Plugin을 최신 버전으로 업데이트하여 신뢰할 수 있는 리비전 검증 기능을 적용
🔧 검증 코드
출력된 Gitea 플러그인의 버전이 1.1.1 이하인지 확인
jenkins-plugin-cli list | grep gitea