🇰🇷 한글 설명
Apache Tomcat에서 다중 버전 배포 시 서로 다른 세션 설정으로 인해 requestedSessionSSL 필드가 오용되는 세션 고정 취약점입니다. 원격 공격자가 이를 악용하여 합법적인 사용자의 웹 세션을 탈취할 수 있습니다.
💡 쉬운 설명
Tomcat 서버에서 특정 방식으로 설정하면 공격자가 다른 사람의 세션을 가로챌 수 있습니다. 이는 공격자가 피해자를 사칭하여 계정에 접근할 수 있다는 의미입니다.
🇺🇸 원문 (English)
Session fixation vulnerability in Apache Tomcat 7.x before 7.0.66, 8.x before 8.0.30, and 9.x before 9.0.0.M2, when different session settings are used for deployments of multiple versions of the same web application, might allow remote attackers to hijack web sessions by leveraging use of a requestedSessionSSL field for an unintended request, related to CoyoteAdapter.java and Request.java.
📍 영향받는 시스템
Apache Tomcat 7.x < 7.0.66, 8.x < 8.0.30, 9.x < 9.0.0.M2
⚔️ 공격 벡터
requestedSessionSSL 필드를 조작하여 특정 세션 ID를 고정시킨 후 피해자가 해당 세션을 사용하도록 유도
🛡️ 대응 방법
Tomcat을 7.0.66, 8.0.30 이상으로 업그레이드
🔧 검증 코드
위 명령어에서 설치된 Tomcat 버전이 출력되면 버전 번호를 확인하여 권장 이상의 버전인지 검증
dpkg -l tomcat7 2>/dev/null | grep -E 'tomcat7|7.0.6[6-9]|7.0.[7-9]' || dpkg -l tomcat8 2>/dev/null | grep -E 'tomcat8|8.0.3[0-9]|8.0.[4-9]'