🇰🇷 한글 설명
Apache Tomcat 캘린더 예제 애플리케이션의 cal2.jsp에서 발견된 CSRF 취약점으로, 원격 공격자가 time과 description 매개변수를 조작하여 임의의 사용자 계정으로 캘린더 이벤트를 추가할 수 있습니다.
💡 쉬운 설명
웹사이트가 요청이 정말 사용자가 보낸 것인지 확인하지 않는 문제입니다. 공격자가 피해자를 속여서 자신도 모르게 캘린더에 일정을 추가하게 할 수 있습니다.
🇺🇸 원문 (English)
Cross-site request forgery (CSRF) vulnerability in cal2.jsp in the calendar examples application in Apache Tomcat 4.1.31 allows remote attackers to add events as arbitrary users via the time and description parameters.
📍 영향받는 시스템
Apache Tomcat 4.1.31 이하 버전의 캘린더 예제 애플리케이션
⚔️ 공격 벡터
공격자가 조작된 링크/폼을 포함한 페이지를 피해자에게 보내 의도하지 않은 캘린더 이벤트 추가
🛡️ 대응 방법
Tomcat을 최신 버전으로 업그레이드하거나 모든 상태 변경 요청에 CSRF 토큰 검증 추가
🔧 검증 코드
4.1.31 이하 버전이 나타나면 취약함, 그 이상 버전이면 패치됨
dpkg -l | grep -i tomcat || rpm -qa | grep -i tomcat