🇰🇷 한글 설명
2023년 3월 27일 이전의 Veracode 관련 제품에서 자격 증명 유출 취약점이 발견되었습니다. Veracode Scan Jenkins 플러그인 및 Azure DevOps 확장이 원격 에이전트 작업을 수행할 때 프로세스 인자 목록을 통해 API 및 프록시 자격 증명이 노출될 수 있습니다.
💡 쉬운 설명
컴퓨터 내부의 다른 사용자가 실행 중인 프로그램의 정보를 몰래 훔쳐보는 방식으로 Veracode의 비밀번호를 알아낼 수 있는 문제입니다. 이를 통해 공격자가 중요한 보안 도구에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
A credential-leak issue was discovered in related Veracode products before 2023-03-27. Veracode Scan Jenkins Plugin before 23.3.19.0, when configured for remote agent jobs, invokes the Veracode Java API Wrapper in a manner that allows local users (with OS-level access of the Jenkins remote) to discover Veracode API credentials by listing the process and its arguments. Veracode Scan Jenkins Plugin before 23.3.19.0, when configured for remote agent jobs and when the "Connect using proxy" option is enabled and configured with proxy credentials, allows local users of the Jenkins remote to discover proxy credentials by listing the process and its arguments. Veracode Azure DevOps Extension before 3.20.0 invokes the Veracode Java API Wrapper in a manner that allows local users (with OS-level access to the Azure DevOps Services cloud infrastructure or Azure DevOps Server) to discover Veracode API credentials by listing the process and its arguments. Veracode Azure DevOps Extension before 3.20.0, when configured with proxy credentials, allows users (with shell access to the Azure DevOps Services cloud infrastructure or Azure DevOps Server) to discover proxy credentials by listing the process and its arguments.
📍 영향받는 시스템
Veracode Scan Jenkins Plugin < 23.3.19.0, Veracode Azure DevOps Extension < 3.20.0
⚔️ 공격 벡터
로컬 OS 접근 권한을 가진 사용자가 프로세스 목록 및 인자(arguments)를 조회하여 자격 증명 탈취
🛡️ 대응 방법
Veracode Scan Jenkins 플러그인을 23.3.19.0 이상으로, Azure DevOps 확장을 3.20.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 취약한 버전(Jenkins 23.3.19.0 미만 또는 Azure DevOps 3.20.0 미만)인지 확인하십시오.
jenkins-plugin-manager --list | grep -E 'veracode-scan-jenkins-plugin|veracode-azure-devops-extension'