🇰🇷 한글 설명
Apache Tomcat 6.x의 기본 설정에서 Set-Cookie 헤더에 HTTPOnly 플래그가 설정되지 않아, 자바스크립트를 통한 쿠키 접근이 가능하다. 공격자가 XSS 취약점을 이용해 세션 쿠키를 탈취할 수 있다.
💡 쉬운 설명
웹사이트의 세션 정보(쿠키)가 자바스크립트로 접근 가능하도록 설정되어 있다. 악의적인 코드가 당신의 로그인 정보를 훔칠 수 있다.
🇺🇸 원문 (English)
The default configuration of Apache Tomcat 6.x does not include the HTTPOnly flag in a Set-Cookie header, which makes it easier for remote attackers to hijack a session via script access to a cookie.
📍 영향받는 시스템
Apache Tomcat 6.x (버전 6.0.x ~ 6.0.35 미만)
⚔️ 공격 벡터
XSS(Cross-Site Scripting) 취약점을 통해 자바스크립트로 JSESSIONID 등 세션 쿠키를 탈취하여 세션 하이재킹 수행
🛡️ 대응 방법
Tomcat 6.0.35 이상으로 업그레이드하거나 context.xml에서 useHttpOnly='true' 설정 추가
🔧 검증 코드
응답 헤더에서 'HttpOnly' 플래그가 보이지 않으면 취약점 존재. 'HttpOnly; Secure'가 있으면 패치됨.
curl -s http://localhost:8080 -I 2>/dev/null | grep -i set-cookie