🇰🇷 한글 설명
Jervis 라이브러리에서 사용되는 결정적 AES IV 파생이 패스프레이즈에서 안전하지 않게 사용되어 취약성이 발생합니다.
💡 쉬운 설명
Jervis 라이브러리는 Jenkins 파이프라인 라이브러리에서 사용됩니다. 이 라이브러리의 이전 버전에서는 암호화에 안전하지 않은 방법을 사용하여 취약성이 발생할 수 있습니다. 업그레이드를 통해 문제를 해결할 수 있습니다.
🇺🇸 원문 (English)
Jervis is a library for Job DSL plugin scripts and shared Jenkins pipeline libraries. Prior to 2.2, Jervis uses deterministic AES IV derivation from a passphrase. This vulnerability is fixed in 2.2.
📍 영향받는 시스템
Jervis 라이브러리 버전 2.2 이전
⚔️ 공격 벡터
암호화된 데이터를 해독하여 중요한 정보를 탈취할 수 있습니다.
🛡️ 대응 방법
Jervis 라이브러리를 버전 2.2 이상으로 업그레이드하여 취약성을 해결합니다.
🔧 검증 코드
로컬 시스템에서 Python이 설치되어 있는지 확인하고, 해당 코드를 실행하여 Jervis 라이브러리 버전을 확인합니다. 코드 실행 결과 True이면 취약, False이면 양호합니다.
python -c "import pkg_resources; dist = pkg_resources.get_distribution('jervis'); print(dist.version < '2.2')"