🇰🇷 한글 설명
Qualys Jenkins Plugin for Policy Compliance 1.0.5 버전 및 이전 버전에서 권한 확인 누락으로 인한 보안 취약점이 발견되었습니다. 로그인 권한이 있고 작업을 구성할 수 있는 사용자는 악의적인 엔드포인트를 설정하여 응답 데이터를 조작할 수 있으며, 이를 통해 XSS(교차 사이트 스크립팅) 공격을 수행할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 플러그인 설정을 조작하여 가짜 서버 주소를 입력할 수 있는 문제입니다. 이를 통해 웹사이트에 악성 코드를 심어 다른 사용자의 정보를 훔치는 공격이 가능합니다.
🇺🇸 원문 (English)
Qualys Jenkins Plugin for Policy Compliance prior to version and including 1.0.5 was identified to be affected by a security flaw, which was missing a permission check while performing a connectivity check to Qualys Cloud Services. This allowed any user with login access and access to configure or edit jobs to utilize the plugin to configure a potential rouge endpoint via which it was possible to control response for certain request which could be injected with XSS payloads leading to XSS while processing the response data
📍 영향받는 시스템
Qualys Jenkins Plugin for Policy Compliance version 1.0.5 and prior
⚔️ 공격 벡터
권한이 있는 사용자가 플러그인 설정 내 Qualys Cloud Services 엔드포인트를 악의적인 주소로 변경하여 XSS 페이로드를 주입
🛡️ 대응 방법
Qualys Jenkins Plugin for Policy Compliance를 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 qualys-policy-compliance의 버전을 확인하여 1.0.5 이하인지 체크합니다.
jenkins-plugin-manager --list | grep qualys-policy-compliance