🇰🇷 한글 설명
2.44 및 2.32.2 미만 버전의 Jenkins는 비밀 정보를 암호화할 때 초기화 벡터(IV)가 없는 AES ECB 블록 암호 모드를 사용합니다. 이로 인해 암호화된 데이터가 불필요한 보안 위험에 노출될 수 있습니다.
💡 쉬운 설명
비밀번호 같은 중요한 정보를 암호화할 때 보안 규칙을 제대로 지키지 않아 암호가 풀릴 위험이 있는 상태입니다. 같은 패턴의 데이터가 반복되면 암호가 쉽게 유추될 수 있습니다.
🇺🇸 원문 (English)
Jenkins before versions 2.44, 2.32.2 uses AES ECB block cipher mode without IV for encrypting secrets which makes Jenkins and the stored secrets vulnerable to unnecessary risks (SECURITY-304).
📍 영향받는 시스템
Jenkins versions before 2.44 and 2.32.2
⚔️ 공격 벡터
암호화된 데이터의 패턴 분석을 통한 기밀 정보 유출
🛡️ 대응 방법
Jenkins를 2.44 또는 2.32.2 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 번호가 나타나면 업데이트가 필요한 상태입니다.
curl -s http://localhost:8080/jelly/api/json | grep -E '"version":"(2\.[0-4][4-9]|2\.[3][2]\.[2-9])"'