🇰🇷 한글 설명
Jenkins Job Configuration History Plugin 1356.ve360da_6c523a_ 및 이전 버전에서 작업 및 에이전트 구성 이력을 표시할 때 암호화된 비밀 값(secrets)이 제대로 마스킹되지 않는 취약점이 발견되었습니다. 이로 인해 Extended Read 권한을 가진 공격자가 원래는 가려져야 할 암호화된 비밀 값을 확인할 수 있습니다.
💡 쉬운 설명
젠킨스 설정 이력을 볼 수 있는 권한이 있는 사용자가 원래는 숨겨져야 할 비밀번호나 인증 키 같은 민감한 정보를 볼 수 있는 문제입니다. 암호화된 상태이긴 하지만, 보안상 노출되어서는 안 되는 데이터가 드러날 위험이 있습니다.
🇺🇸 원문 (English)
Jenkins Job Configuration History Plugin 1356.ve360da_6c523a_ and earlier does not redact the encrypted values of secrets when displaying historical job and agent configurations, allowing attackers with Extended Read permission to view encrypted secret values that would otherwise be redacted.
📍 영향받는 시스템
Jenkins Job Configuration History Plugin 1356.ve360da_6c523a_ 및 그 이전 버전
⚔️ 공격 벡터
Extended Read 권한을 가진 내부 사용자가 플러그인을 통해 과거 설정 이력을 조회하여 암호화된 값을 탈취
🛡️ 대응 방법
Jenkins Job Configuration History Plugin을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 취약한 버전(1356.ve360da_6c523a_ 이하)인지 확인하십시오.
jenkins-plugin-manager --list | grep 'job-configuration-history'