🇰🇷 한글 설명
Jenkins 2.218 및 이전 버전, LTS 2.204.1 및 이전 버전에서 HMAC 검증 시 상수 시간이 아닌 비교 함수를 사용합니다. 이로 인해 타이밍 공격을 통해 유효한 HMAC 값을 추측할 수 있는 취약점이 존재합니다.
💡 쉬운 설명
데이터가 진짜인지 확인하는 과정에서 시간이 걸리는 차이를 이용해 암호를 알아내는 공격 방식입니다. 공격자가 아주 미세한 시간 차이를 측정하여 보안 키를 유추할 수 있습니다.
🇺🇸 원문 (English)
Jenkins 2.218 and earlier, LTS 2.204.1 and earlier used a non-constant time comparison function when validating an HMAC.
📍 영향받는 시스템
Jenkins 2.218 및 이전 버전, LTS 2.204.1 및 이전 버전
⚔️ 공격 벡터
타이밍 공격(Timing Attack)을 통한 HMAC 값 유추
🛡️ 대응 방법
Jenkins를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약한 버전 범위(2.218 이하 또는 LTS 2.204.1 이하)에 해당하는지 확인하십시오.
jenkins --version 2>/dev/null || curl -s http://localhost:8080/jelly/api/json | jq -r '.version'