🇰🇷 한글 설명
Apache Tomcat의 StatusManagerServlet이 보안 제한 설정 목록에 포함되지 않아 SecurityManager의 접근 제어를 우회할 수 있습니다. 인증된 원격 사용자가 임의의 HTTP 요청 정보와 세션 ID를 읽을 수 있어 세션 탈취로 이어질 수 있습니다.
💡 쉬운 설명
Tomcat 웹 서버의 관리 기능이 제대로 보호되지 않아, 로그인한 사용자가 다른 사용자의 세션 정보를 볼 수 있습니다. 이를 통해 공격자가 다른 사용자로 접근할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
Apache Tomcat 6.x before 6.0.45, 7.x before 7.0.68, 8.x before 8.0.31, and 9.x before 9.0.0.M2 does not place org.apache.catalina.manager.StatusManagerServlet on the org/apache/catalina/core/RestrictedServlets.properties list, which allows remote authenticated users to bypass intended SecurityManager restrictions and read arbitrary HTTP requests, and consequently discover session ID values, via a crafted web application.
📍 영향받는 시스템
Apache Tomcat 6.x (6.0.45 이전), 7.x (7.0.68 이전), 8.x (8.0.31 이전), 9.x (9.0.0.M2 이전)
⚔️ 공격 벡터
인증된 사용자가 StatusManagerServlet에 접근하여 SecurityManager 제한을 우회하고 HTTP 요청 및 세션 ID 탈취
🛡️ 대응 방법
영향받는 버전을 최신 패치 버전으로 업그레이드 (Tomcat 6.0.45 이상, 7.0.68 이상, 8.0.31 이상, 9.0.0.M2 이상)
🔧 검증 코드
설치된 Tomcat 버전을 확인하고, 버전이 6.x(6.0.45 미만), 7.x(7.0.68 미만), 8.x(8.0.31 미만), 9.x(9.0.0.M2 미만)이면 취약
dpkg -l | grep tomcat | head -1 || rpm -qa | grep tomcat | head -1