🇰🇷 한글 설명
Jenkins Gradle Plugin 2.19.1252.v15196b_5a_6e10 및 이전 버전에서 발생하는 취약점입니다. 공격자가 빌드 로그를 제어할 수 있는 경우, 플러그인이 설정된 Develocity 서버 대신 공격자가 지정한 URL로 빌드 스캔 데이터를 요청하도록 유도하여 글로벌 설정에 저장된 Develocity 액세스 키를 탈취할 수 있습니다.
💡 쉬운 설명
빌드 기록을 조작하여 Jenkins가 엉뚱한 곳으로 중요한 비밀번호를 보내게 만드는 공격입니다. 이를 통해 공격자는 회사의 중요한 개발 도구 접근 권한을 훔칠 수 있습니다.
🇺🇸 원문 (English)
Jenkins Gradle Plugin 2.19.1252.v15196b_5a_6e10 and earlier requests build scan data from the build scan link detected in the build log, even when a Develocity server URL is configured in the global configuration, allowing attackers able to control the build log to capture the Develocity access key configured in the global configuration by having Jenkins connect to an attacker-specified URL.
📍 영향받는 시스템
Jenkins Gradle Plugin 2.19.1252.v15196b_5a_6e10 및 그 이전 모든 버전
⚔️ 공격 벡터
빌드 로그 내의 빌드 스캔 링크를 공격자가 제어하는 URL로 조작하여 데이터 탈취
🛡️ 대응 방법
Jenkins Gradle Plugin을 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약한 버전 범위(2.19.1252.v15196b_5a_6e10 이하)에 해당하는지 확인합니다.
jenkins-plugin-cli list | grep gradle-plugin