🇰🇷 한글 설명
Jervis 라이브러리에서 암호화 키를 파생하는 과정에서 동일한 비밀번호로 암호화 연산을 수행할 때 동일한 키가 파생되는 취약점이 발견되었습니다. 이 취약점은 2.2 버전에서 수정되었습니다.
💡 쉬운 설명
Jervis 라이브러리는 Jenkins 파이프라인 라이브러리에서 사용됩니다. 암호화 키가 동일한 비밀번호로 생성되어 보안 취약점이 발생합니다. 업그레이드하여 취약점을 해결할 수 있습니다.
🇺🇸 원문 (English)
Jervis is a library for Job DSL plugin scripts and shared Jenkins pipeline libraries. Prior to 2.2, the salt is derived from sha256Sum(passphrase). Two encryption operations with the same password will have the same derived key. This vulnerability is fixed in 2.2.
📍 영향받는 시스템
Jervis 라이브러리 버전 2.2 이전
⚔️ 공격 벡터
암호화 키를 예측하여 데이터를 탈취할 수 있습니다.
🛡️ 대응 방법
Jervis 라이브러리를 2.2 버전 이상으로 업그레이드하세요.
🔧 검증 코드
로컬 시스템에서 Python을 실행하여 Jervis 라이브러리 버전을 확인합니다. Python이 설치되어 있어야 하며, Jervis 라이브러리가 설치된 경우 버전을 확인하여 취약점 여부를 판단합니다.
python -c "import pkg_resources; print('Jervis' in [d.project_name for d in pkg_resources.working_set] and pkg_resources.get_distribution('Jervis').version < '2.2')" && echo {"result": "취약", "reason": "Jervis 라이브러리 버전이 2.2 미만"} || echo {"result": "양호", "reason": "Jervis 라이브러리 버전이 2.2 이상"}