🇰🇷 한글 설명
Jervis 라이브러리에서 AES/CBC/PKCS5Padding 인증이 отсутств하여 패딩 오라클 공격과 암호문 조작에 취약
💡 쉬운 설명
Jervis 라이브러리는 Jenkins 파이프라인 라이브러리에 사용되며, 암호화 인증이 제대로 이루어지지 않아 공격에 취약합니다. 이는 데이터의 무결성을 보장하지 못하며, 공격자가 암호문을 조작할 수 있습니다.
🇺🇸 원문 (English)
Jervis is a library for Job DSL plugin scripts and shared Jenkins pipeline libraries. Prior to 2.2, AES/CBC/PKCS5Padding lacks authentication, making it vulnerable to padding oracle attacks and ciphertext manipulation. This vulnerability is fixed in 2.2.
📍 영향받는 시스템
Jervis 라이브러리 버전 2.2 이전
⚔️ 공격 벡터
패딩 오라클 공격과 암호문 조작
🛡️ 대응 방법
Jervis 라이브러리 버전을 2.2 이상으로 업데이트합니다.
🔧 검증 코드
로컬 시스템에서 Python이 설치되어 있는지 확인하고, Jervis 라이브러리가 설치되어 있는 경우 버전을 확인하여 취약 여부를 판단합니다. Python이 설치되어 있지 않으면 설치 후 실행하세요.
python -c "import pkg_resources; print('취약' if pkg_resources.get_distribution('jervis').version < '2.2' else '양호')"