🇰🇷 한글 설명
Apache Tomcat 7.x 7.0.11 이전 버전에서 web.xml에 보안 제약이 없을 때 ServletSecurity 주석을 따르지 않아 원격 공격자가 의도된 접근 제한을 우회할 수 있습니다. HTTP 요청을 통해 보호된 웹 애플리케이션 리소스에 무단 접근이 가능합니다.
💡 쉬운 설명
Tomcat 웹 서버의 보안 설정이 무시되어 승인되지 않은 사용자가 보호된 페이지에 접근할 수 있는 문제입니다. 마치 자물쇠가 작동하지 않는 것과 같습니다.
🇺🇸 원문 (English)
Apache Tomcat 7.x before 7.0.11, when web.xml has no security constraints, does not follow ServletSecurity annotations, which allows remote attackers to bypass intended access restrictions via HTTP requests to a web application. NOTE: this vulnerability exists because of an incomplete fix for CVE-2011-1088.
📍 영향받는 시스템
Apache Tomcat 7.0.0 이상 7.0.11 미만
⚔️ 공격 벡터
HTTP 요청을 통해 ServletSecurity 주석으로 보호된 리소스에 직접 접근
🛡️ 대응 방법
Apache Tomcat을 7.0.11 이상으로 업그레이드하거나 web.xml에 보안 제약을 명시적으로 정의
🔧 검증 코드
출력된 Tomcat 패키지 버전이 7.0.11 이상이면 안전하며, 7.0.11 미만이면 즉시 업그레이드 필요합니다.
dpkg -l 2>/dev/null | grep tomcat || rpm -qa 2>/dev/null | grep tomcat || cat /opt/tomcat/RELEASE-NOTES.txt 2>/dev/null | grep -i 'version' | head -3