🇰🇷 한글 설명
Jenkins Parameterized Remote Trigger Plugin 3.2.2 및 이전 버전에서 토큰이 job config.xml 파일에 암호화되지 않은 상태로 저장되는 취약점이 발견되었습니다. 이로 인해 Item/Extended Read 권한을 가진 사용자나 Jenkins 컨트롤러 파일 시스템에 접근할 수 있는 사용자가 토큰을 탈취할 수 있습니다.
💡 쉬운 설명
중요한 비밀번호 역할을 하는 토큰이 암호화되지 않은 채 파일로 저장되어 보안에 취약합니다. 권한이 있는 사용자가 이 파일을 열어보면 비밀번호를 그대로 볼 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
Jenkins Parameterized Remote Trigger Plugin 3.2.2 and earlier stores tokens unencrypted in job config.xml files on the Jenkins controller where they can be viewed by users with Item/Extended Read permission or access to the Jenkins controller file system.
📍 영향받는 시스템
Jenkins Parameterized Remote Trigger Plugin 3.2.2 및 이전 모든 버전
⚔️ 공격 벡터
Item/Extended Read 권한을 이용한 설정 파일 조회 또는 컨트롤러 파일 시스템 직접 접근
🛡️ 대응 방법
해당 플러그인을 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 3.2.2 이하인지 확인하십시오.
jenkins-plugin-cli list | grep parameterized-remote-trigger