🇰🇷 한글 설명
Jenkins Image Tag Parameter Plugin 2.0 버전에서 Docker 레지스트리 연결 시 SSL/TLS 인증서 검증을 건너뛸 수 있는 옵션이 부적절하게 도입되었습니다. 이로 인해 2.0 이전 버전에서 생성된 작업 설정들이 기본적으로 SSL/TLS 인증서 검증이 비활성화되는 보안 취약점이 발생합니다.
💡 쉬운 설명
Jenkins 플러그인이 업데이트되면서 보안 연결을 확인하는 기능이 실수로 꺼지게 되었습니다. 이로 인해 해커가 가짜 서버를 통해 악성 이미지를 전달할 위험이 있습니다.
🇺🇸 원문 (English)
Jenkins Image Tag Parameter Plugin 2.0 improperly introduces an option to opt out of SSL/TLS certificate validation when connecting to Docker registries, resulting in job configurations using Image Tag Parameters that were created before 2.0 having SSL/TLS certificate validation disabled by default.
📍 영향받는 시스템
Jenkins Image Tag Parameter Plugin 2.0 및 이전 버전에서 생성된 설정 사용 시스템
⚔️ 공격 벡터
중간자 공격(MitM)을 통해 인증되지 않은 Docker 레지스트리로부터 악성 이미지를 주입
🛡️ 대응 방법
플러그인 설정을 확인하여 SSL/TLS 인증서 검증이 활성화되어 있는지 점검하고, 필요 시 설정을 수동으로 수정하거나 최신 보안 패치를 적용하십시오.
🔧 검증 코드
출력된 플러그인 버전이 2.0 미만인지 확인하여 취약한 설정이 적용될 가능성이 있는지 판단합니다.
jenkins-plugin-cli list | grep image-tag-parameter