CI/CD
이 태그가 달린 문서 5건
Jenkins 2.588과 LTS 2.580.2에서 취약점 15건 수정(CVE-2026-117612부터 117626까지): 버전 확인과 업데이트 후 점검할 것
2026년 10월 28일 Jenkins 프로젝트는 주간 릴리스 2.588과 LTS 2.580.2에서 Jenkins 코어의 취약점 15건(CVE-2026-117612부터 CVE-2026-117626까지)을 수정하는 보안 권고를 공개했습니다. 주간 2.587 이하와 LTS 2.580.1 이하가 영향을 받습니다. 권고는 13건을 High, 2건을 Medium으로 평가합니다. 대부분 Overall/Read나 Item/Configure 같은 어떤 권한이 필요합니다(설정에 따라 익명 사용자에게 Overall/Read를 주는 경우도 있습니다). 예외는 CVE-2026-117618로, 초기 설정 마법사의 경쟁 상태(race condition)를 이용해 인증되지 않은 사용자가 초기 설정 중에 관리자 계정을 만들 수 있게 하므로, 인터넷에 노출된 새로 설치한 Jenkins의 우선순위가 올라갑니다. 권고가 제시하는 우회책은 업데이트로 문제가 생길 때 새 검사를 끄는 설정과, 알려진 영향을 제한하는 XSS 3건에 대한 Content Security Policy 강제뿐이며, 해결책은 업데이트입니다. 이 사이트는 11월 3일 기준 악용에 대한 신뢰할 만한 보고를 찾지 못했고, 15건 모두 CISA의 KEV(Known Exploited Vulnerabilities) 카탈로그에 없습니다. 이 사이트의 결론: Jenkins 버전을 확인하고 2.588(LTS 2.580.2)로 업데이트하며, Jenkins를 인터넷에 노출하지 말고 익명 사용자에게 권한을 주지 않은 뒤, 업데이트 후 사용자, 관리자, 에이전트를 점검하십시오.
Trivy 공급망 침해 (2026년 3월): CI에서 Trivy를 쓰고 있다면 할 일
2026년 3월 19일 Aqua Security가 개발하는 오픈소스 취약점 스캐너 Trivy의 악성 v0.69.4가 배포됐고, GitHub Actions의 trivy-action(태그 77개 중 76개)과 setup-trivy(태그 7개 전부)가 악성 커밋을 가리키도록 바뀌었다. Aqua에 따르면 악성 코드는 CI 러너에서 비밀값을 수집해 외부로 보냈고, 원인은 2월 말에 시작된 침해에서 탈취된 인증 정보였으며, 3월 1일의 교체가 한꺼번에 이뤄지지 않아 공격자가 계속 쓸 수 있었다. 이 사이트의 결론 = 교훈은 액션을 태그가 아니라 커밋 ID(SHA)로 고정하라는 것만이 아니다. SHA로 고정한 액션도 내부에서 다른 구성 요소를 태그로 부를 수 있고, 그 경로로 악성 버전이 들어온다. 유출된 인증 정보는 한꺼번에 교체해야 하며, 그렇지 않으면 공격자가 계속 쓸 수 있다. 스캐너는 배포용 비밀값이 없는 잡에서 돌린다.
osv-scanner 실전 — pnpm, CVE 무시, 오프라인 모드, 자주 만나는 오류
도입 다음 날의 질문만 공식 문서에 근거해 답합니다. pnpm-lock.yaml은 지원되고, 무시 설정은 osv-scanner.toml의 IgnoredVulns에 두며 기한을 붙일 수 있고, 오프라인 모드는 역할이 다른 세 플래그입니다. 본 사이트의 견해: 스캐너는 알려진 취약점을 보고할 뿐, 직접 고정한 버전이 낡아 가는 것은 알려 주지 않습니다. 그것은 별도의 장치가 필요합니다.
npm 공급망 웜: 설치 순간에 자격 증명이 털리는 구조와 방어법
의존성 하나를 추가하는 것은 남이 쓴 코드를 내 권한으로 실행하는 일이므로, 방어는 설치 시점에 해야 합니다. 본 사이트의 견해: 이번 공격은 서명과 출처 증명을 통과했으므로 이것을 신뢰의 근거로 삼을 수 없습니다. 효과가 있는 것은 설치 스크립트를 기본으로 끄고, 새 버전은 며칠 기다렸다가 채택하고, 토큰을 짧은 수명과 좁은 범위로 유지하는 것입니다. 감염이 의심되면 자격 증명을 폐기하는 순서도 중요합니다.
Codecov 유출 사고(2021) — CI 도구가 변조되어 비밀 정보가 새어 나갔을 때
신뢰하던 CI 도구(curl|bash로 실행되는 Bash Uploader)가 상위에서 변조되었습니다. 여러분의 코드는 손대지 않았기 때문에 약 2개월간 알아채지 못한 채 CI 비밀 정보가 유출되었고, 체크섬 검사가 이를 잡아냈습니다. 여러분의 CI에서는 가져온 산출물 검증, 최소 권한 비밀 정보, 로테이션, 이그레스 모니터링이 핵심입니다.