🇰🇷 한글 설명
JUnit 테스트 프레임워크의 5.12.0~5.13.1 버전에서 Open Test Reporting XML 파일 생성 시 Git 자격증명(토큰)이 노출될 수 있습니다. 테스트 보고서가 공개 저장소에 저장되면 공격자가 노출된 토큰을 탈취하여 사용자 계정을 가장해 악의적 행동을 수행할 수 있습니다.
💡 쉬운 설명
JUnit이라는 Java 테스트 도구가 실수로 테스트 결과 파일에 GitHub 암호를 포함시킬 수 있습니다. 이 파일이 인터넷에 공개되면 해커가 암호를 훔쳐 사용자 계정을 탈취할 수 있습니다.
🇺🇸 원문 (English)
JUnit is a testing framework for Java and the JVM. From version 5.12.0 to 5.13.1, JUnit's support for writing Open Test Reporting XML files can leak Git credentials. The impact depends on the level of the access token exposed through the OpenTestReportGeneratingListener. If these test reports are published or stored anywhere public, then there is the possibility that a rouge attacker can steal the token and perform elevated actions by impersonating the user or app. This issue as been patched in version 5.13.2.
📍 영향받는 시스템
JUnit 5.12.0 ~ 5.13.1 버전
⚔️ 공격 벡터
공개 저장소에 저장된 Open Test Reporting XML 파일에서 Git 토큰 탈취
🛡️ 대응 방법
JUnit을 5.13.2 이상으로 업그레이드
🔧 검증 코드
명령어 결과에 5.12.x 또는 5.13.0/5.13.1 버전이 나타나면 vulnerable, 5.13.2 이상이면 안전
grep -rE '5\.(12|13\.[01])' . --include='pom.xml' --include='build.gradle' 2>/dev/null | head -1