🇰🇷 한글 설명
Jenkins Bitbucket Push and Pull Request 플러그인 4.0.1 및 이전 버전에서 웹훅 페이로드에 포함된 URL 값을 검증 없이 신뢰하는 취약점이 발견되었습니다. 공격자가 조작된 웹훅을 전송하면 Jenkins에 저장된 Bitbucket 자격 증명이 해당 URL로 유출될 수 있습니다.
💡 쉬운 설명
해커가 가짜 알림을 보내 Jenkins가 몰래 자신의 비밀번호를 해커의 서버로 보내도록 만드는 공격입니다. 이로 인해 Jenkins에 저장된 중요한 계정 정보가 탈취될 수 있습니다.
🇺🇸 원문 (English)
Jenkins Bitbucket Push and Pull Request Plugin 4.0.1 and earlier trusts values provided in the webhook payload, including certain URLs, and uses configured Bitbucket credentials to connect to those URLs, allowing attackers to capture Bitbucket credentials stored in Jenkins by sending a crafted webhook payload.
📍 영향받는 시스템
Jenkins Bitbucket Push and Pull Request Plugin 4.0.1 및 그 이전 버전
⚔️ 공격 벡터
조작된 URL이 포함된 웹훅 페이로드를 Jenkins 서버로 전송하여 자격 증명 탈취
🛡️ 대응 방법
Jenkins Bitbucket Push and Pull Request 플러그인을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 플러그인 버전이 4.0.1 이하인지 확인하십시오.
jenkins-plugin-cli list | grep bitbucket-push-and-pull-request