🇰🇷 한글 설명
Jervis 라이브러리의 SHA-256 해시 함수 사용 오류로 인한 취약점
💡 쉬운 설명
Jervis 라이브러리는 Jenkins 파이프라인 라이브러리에서 사용되며, SHA-256 해시 함수를 사용할 때 오류가 발생합니다. 이 오류로 인해 보안 취약점이 발생할 수 있습니다. 최신 버전의 Jervis 라이브러리를 사용하면 이 문제가 해결됩니다.
🇺🇸 원문 (English)
Jervis is a library for Job DSL plugin scripts and shared Jenkins pipeline libraries. Prior to 2.2, Jervis uses padLeft(32, '0') when it should use padLeft(64, '0') because SHA-256 produces 32 bytes which equates to 64 hex characters. This vulnerability is fixed in 2.2.
📍 영향받는 시스템
Jervis 라이브러리 버전 2.2 이전
⚔️ 공격 벡터
해시 함수 오류를 이용한 공격
🛡️ 대응 방법
Jervis 라이브러리 버전 2.2 이상으로 업데이트하기
🔧 검증 코드
로컬 시스템에서 Python을 사용하여 Jervis 라이브러리 버전을 확인합니다. Python이 설치되어 있어야 하며, Jervis 라이브러리가 설치되어 있으면 버전을 확인하여 취약점 여부를 판단합니다.
python -c "import pkg_resources; print('Jervis' in [d.project_name for d in pkg_resources.working_set] and pkg_resources.get_distribution('Jervis').version < '2.2')" && echo '{"result": "취약", "reason": "Jervis 라이브러리 버전이 2.2 미만"}' || echo '{"result": "양호", "reason": "Jervis 라이브러리 버전이 2.2 이상"}'