🇰🇷 한글 설명
Apache Tomcat 8.x의 AJP 프로세서에서 Content-Length: 0인 AJP 요청을 처리할 때 발생하는 취약점으로, 원격 공격자가 스레드 고갈을 유발하여 서비스 거부(DoS) 공격을 수행할 수 있습니다.
💡 쉬운 설명
Tomcat 웹 서버가 특정한 잘못된 요청을 받으면 응답을 기다리면서 멈춰서 많은 리소스를 낭비합니다. 공격자가 이런 요청을 반복하면 서버가 더 이상 정상적으로 작동하지 못하게 됩니다.
🇺🇸 원문 (English)
java/org/apache/coyote/ajp/AbstractAjpProcessor.java in Apache Tomcat 8.x before 8.0.4 allows remote attackers to cause a denial of service (thread consumption) by using a "Content-Length: 0" AJP request to trigger a hang in request processing.
📍 영향받는 시스템
Apache Tomcat 8.0.0 이상 8.0.4 미만
⚔️ 공격 벡터
Content-Length: 0 헤더를 포함한 AJP 프로토콜 요청을 원격으로 전송하여 스레드 고갈 유발
🛡️ 대응 방법
Apache Tomcat을 8.0.4 이상 버전으로 업그레이드
🔧 검증 코드
Tomcat 버전이 8.0.4 이상인지 확인합니다. 8.0.4 미만이면 CVE-2014-0095에 취약합니다.
dpkg -l | grep tomcat | awk '{print $2,$3}' || rpm -q tomcat