🇰🇷 한글 설명
Jenkins Token Macro Plugin 2.7 및 이전 버전에서 발생하는 XML 외부 엔티티(XXE) 취약점입니다. 공격자가 XML 매크로의 입력 파일 내용을 제어할 수 있을 경우, Jenkins가 외부 엔티티를 해석하도록 유도하여 비밀 정보 탈취, SSRF 또는 서비스 거부(DoS) 공격을 수행할 수 있습니다.
💡 쉬운 설명
Jenkins의 특정 플러그인이 외부의 악성 XML 파일을 잘못 처리하여 발생하는 보안 문제입니다. 이를 통해 해커가 서버 내부의 중요한 비밀번호를 훔쳐보거나 서버를 마비시킬 수 있습니다.
🇺🇸 원문 (English)
An XML external entities (XXE) vulnerability in Jenkins Token Macro Plugin 2.7 and earlier allowed attackers able to control a the content of the input file for the "XML" macro to have Jenkins resolve external entities, resulting in the extraction of secrets from the Jenkins agent, server-side request forgery, or denial-of-service attacks.
📍 영향받는 시스템
Jenkins Token Macro Plugin 2.7 및 그 이전 버전
⚔️ 공격 벡터
XML 매크로에 조작된 외부 엔티티가 포함된 입력 파일을 제공하여 Jenkins 서버가 이를 처리하도록 유도
🛡️ 대응 방법
Jenkins Token Macro Plugin을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.7 이하인지 확인하여 취약 여부를 판단합니다.
jenkins-plugin-cli list | grep token-macro