🇰🇷 한글 설명
Jenkins Curseforge Publisher Plugin 1.0 버전에서 API 키가 암호화되지 않은 상태로 job config.xml 파일에 저장됩니다. 이로 인해 Item/Extended Read 권한을 가진 사용자나 Jenkins 컨트롤러 파일 시스템에 접근할 수 있는 사용자가 API 키를 탈취할 수 있습니다.
💡 쉬운 설명
플러그인이 중요한 비밀번호(API 키)를 암호화하지 않고 일반 텍스트로 저장하는 보안 결함이 발견되었습니다. 권한이 있는 사용자가 설정 파일을 열어보는 것만으로도 이 비밀번호를 쉽게 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Jenkins Curseforge Publisher Plugin 1.0 stores API Keys unencrypted in job config.xml files on the Jenkins controller where they can be viewed by users with Item/Extended Read permission, or access to the Jenkins controller file system.
📍 영향받는 시스템
Jenkins Curseforge Publisher Plugin 1.0
⚔️ 공격 벡터
Jenkins 설정 파일(config.xml)에 대한 읽기 권한을 이용한 정보 유출
🛡️ 대응 방법
해당 플러그인을 최신 보안 패치 버전으로 업데이트하거나, API 키가 노출되지 않도록 Jenkins Credentials 시스템을 사용하십시오.
🔧 검증 코드
명령어 실행 결과로 API 키나 비밀번호가 암호화되지 않은 평문으로 출력된다면 취약한 상태입니다.
grep -r 'curseforge' $JENKINS_HOME/jobs/*/config.xml | grep -E 'api_key|password'