🇰🇷 한글 설명
Jenkins Redgate SQL Change Automation 플러그인 2.0.4 및 이전 버전에서 API 키가 암호화되지 않은 상태로 job config.xml 파일에 저장되는 취약점이 발견되었습니다. 이로 인해 Extended Read 권한을 가진 사용자나 Jenkins 마스터 파일 시스템에 접근할 수 있는 사용자가 API 키를 탈취할 수 있습니다.
💡 쉬운 설명
플러그인이 중요한 비밀번호(API 키)를 암호화하지 않고 일반 텍스트로 저장하여 보안에 취약한 상태입니다. 권한이 있는 사용자가 설정 파일을 열어보는 것만으로도 중요한 정보를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
Jenkins Redgate SQL Change Automation Plugin 2.0.4 and earlier stored an API key unencrypted in job config.xml files on the Jenkins master where they could be viewed by users with Extended Read permission, or access to the master file system.
📍 영향받는 시스템
Jenkins Redgate SQL Change Automation Plugin 2.0.4 및 그 이전 버전
⚔️ 공격 벡터
Extended Read 권한을 이용한 설정 파일 조회 또는 Jenkins 마스터 서버의 파일 시스템 직접 접근
🛡️ 대응 방법
Redgate SQL Change Automation 플러그인을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 2.0.4 이하인지 확인하여 취약 여부를 판단합니다.
jenkins-plugin-cli list | grep 'redgate-sql-change-automation'