🇰🇷 한글 설명
Jenkins Robot Framework Plugin 6.2.2 및 이전 버전에서 Robot Framework 보고서 파일의 아카이브 디렉토리가 Jenkins 컨트롤러의 빌드 디렉토리 내에 있는지 확인하지 않는 취약점이 존재합니다. 이를 통해 Item/Configure 권한을 가진 공격자가 Jenkins 컨트롤러 파일 시스템에 임의의 파일을 생성하거나 교체할 수 있으며, 결과적으로 원격 코드 실행(RCE)으로 이어질 수 있습니다.
💡 쉬운 설명
Jenkins 설정 권한이 있는 사람이 보고서 저장 위치를 시스템의 중요한 폴더로 바꿔치기할 수 있는 문제입니다. 이를 통해 해커가 서버에 악성 파일을 심어 서버를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
Jenkins Robot Framework Plugin 6.2.2 and earlier does not check that the archive directory configured for Robot Framework report files is contained within the build directory on the Jenkins controller, allowing attackers with Item/Configure permission to create or replace arbitrary files on the Jenkins controller file system with attacker-specified content, which can lead to remote code execution.
📍 영향받는 시스템
Jenkins Robot Framework Plugin 6.2.2 및 그 이전 버전
⚔️ 공격 벡터
Item/Configure 권한을 이용한 아카이브 디렉토리 경로 조작을 통한 임의 파일 쓰기
🛡️ 대응 방법
Jenkins Robot Framework Plugin을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 robotframework 플러그인의 버전이 6.2.2 이하인지 확인하십시오.
jenkins-plugin-cli list | grep robotframework