🇰🇷 한글 설명
BlazeMeter Jenkins Plugin 4.27 이전 버전에서 접근 제어 부재로 인해 권한 없는 사용자도 자격증명 ID, bzm 워크스페이스, 프로젝트 ID 등 민감한 리소스 목록을 Jenkins UI 드롭다운에서 볼 수 있었던 정보 공개 취약점입니다. 버전 4.27에서 특정 권한 보유자만 이러한 정보를 조회할 수 있도록 수정되었습니다.
💡 쉬운 설명
Jenkins의 BlazeMeter 플러그인에서 누구나 볼 수 없어야 할 민감한 정보(계정 ID, 프로젝트명 등)를 누구나 확인할 수 있었습니다. 이제 관리자만 볼 수 있도록 잠금처리되었습니다.
🇺🇸 원문 (English)
A fix was made in BlazeMeter Jenkins Plugin version 4.27 to allow users only with certain permissions to see the list of available resources like credential IDs, bzm workspaces and bzm project Ids. Prior to this fix, anyone could see this list as a dropdown on the Jenkins UI.
📍 영향받는 시스템
BlazeMeter Jenkins Plugin 버전 4.27 미만 (4.26 이하)
⚔️ 공격 벡터
Jenkins 웹 UI 접근 시 플러그인의 드롭다운 메뉴에서 민감 정보 노출
🛡️ 대응 방법
BlazeMeter Jenkins Plugin을 버전 4.27 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 4.27 이상이면 안전하고, 4.26 이하면 업그레이드 필요합니다. 플러그인이 설치되지 않았으면 'Plugin not installed' 출력
curl -s http://jenkins-server/pluginManager/api/json | grep -i blazemeter | grep -oP '"version":\s*"\K[^"]+' || echo 'Plugin not installed'