🇰🇷 한글 설명
Jenkins Configuration as Code 플러그인 1.26 및 이전 버전에서 CVE-2019-10343의 수정이 불완전하여 발생한 문제입니다. 구성 내용을 로그로 기록할 때 마스킹 처리가 되어야 할 일부 민감한 값이 그대로 노출될 수 있습니다.
💡 쉬운 설명
설정 내용을 기록하는 로그 파일에 비밀번호 같은 중요한 정보가 숨겨지지 않고 그대로 찍히는 문제입니다. 로그를 볼 수 있는 권한이 있다면 중요한 정보를 탈취당할 수 있습니다.
🇺🇸 원문 (English)
Due to an incomplete fix of CVE-2019-10343, Jenkins Configuration as Code Plugin 1.26 and earlier did not properly apply masking to some values expected to be hidden when logging the configuration being applied.
📍 영향받는 시스템
Jenkins Configuration as Code Plugin 1.26 및 그 이전 버전
⚔️ 공격 벡터
로그 파일에 기록된 마스킹되지 않은 민감한 정보(비밀번호, 토큰 등)를 탈취
🛡️ 대응 방법
Jenkins Configuration as Code 플러그인을 최신 버전으로 업데이트
🔧 검증 코드
출력된 플러그인 버전이 1.26 이하인지 확인하여 취약 여부를 판단합니다.
jenkins-plugin-manager --list | grep 'configuration-as-code' | awk '{print $2}'