🇰🇷 한글 설명
HCL AppScan Azure Boards Plugin에서 파이프라인 실행 중 비밀 정보가 평문으로 노출될 수 있는 정보 유출 취약점이 발견되었습니다. 파이프라인 설정에 따라 사용자 인터페이스에서는 마스킹 처리되더라도 작업 출력, 디버그 로그, 환경 변수 덤프 또는 빌드 에이전트 스크립트를 통해 비밀 정보가 노출될 수 있습니다.
💡 쉬운 설명
프로그램이 돌아가는 과정에서 숨겨져 있어야 할 비밀번호나 인증 키가 로그 파일 등에 그대로 찍혀서 보일 수 있는 문제입니다. 화면상으로는 가려져 보일지라도 실제 기록 파일에는 내용이 남아있을 수 있어 주의가 필요합니다.
🇺🇸 원문 (English)
HCL AppScan Azure Boards Plugin is potentially affected by an Information Disclosure vulnerability involving secrets accessible in plaintext during pipeline execution. Depending on the pipeline configuration, these secrets could be exposed through task outputs, debug logs, environment variable dumps, or build agent scripts, despite being masked in the user interface.
📍 영향받는 시스템
HCL AppScan Azure Boards Plugin
⚔️ 공격 벡터
파이프라인 실행 로그, 디버그 출력, 환경 변수 덤프 또는 빌드 에이전트 스크립트 확인을 통한 정보 탈취
🛡️ 대응 방법
해당 플러그인을 최신 보안 패치가 적용된 버전으로 업데이트하고 파이프라인 로그 노출 설정을 점검하십시오.
🔧 검증 코드
명령어 결과로 출력된 버전이 보안 패치가 적용된 최신 버전인지 제조사의 보안 권고안과 비교하여 확인하십시오.
az extension list --query "[?name=='hcl-appscan-azure-boards'].version" -o tsv