🇰🇷 한글 설명
Qualys Jenkins Plugin 1.0.5 이하 버전에서 권한 확인 누락으로 인한 보안 취약점이 발견되었습니다. 로그인 권한이 있는 사용자가 악의적인 엔드포인트를 설정하여 XXE(XML 외부 엔티티) 페이로드를 주입함으로써 시스템을 공격할 수 있습니다.
💡 쉬운 설명
로그인할 수 있는 사용자라면 누구나 플러그인 설정을 조작하여 시스템에 위험한 데이터를 주입할 수 있는 결함입니다. 이를 통해 공격자는 서버 내부의 민감한 정보를 탈취할 수 있습니다.
🇺🇸 원문 (English)
Qualys Jenkins Plugin for Policy Compliance prior to version and including 1.0.5 was identified to be affected by a security flaw, which was missing a permission check while performing a connectivity check to Qualys Cloud Services. This allowed any user with login access to configure or edit jobs to utilize the plugin and configure potential a rouge endpoint via which it was possible to control response for certain request which could be injected with XXE payloads leading to XXE while processing the response data
📍 영향받는 시스템
Qualys Jenkins Plugin version 1.0.5 and prior
⚔️ 공격 벡터
로그인된 사용자가 플러그인 설정을 통해 악의적인 엔드포인트를 구성하고 XXE 페이로드를 주입하는 방식
🛡️ 대응 방법
Qualys Jenkins Plugin을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 qualys-jenkins-plugin의 버전이 1.0.5 이하인지 확인하십시오.
jenkins-plugin-cli list | grep qualys-jenkins-plugin