🇰🇷 한글 설명
Apache Tomcat 서블릿 및 JSP 엔진의 HTTPS 요청 처리 중 프로그래밍 오류로 인해 무한 루프가 발생하여 서비스 거부(DoS)가 가능합니다. CVE-2016-6816 수정사항은 백포트되었으나 Tomcat 버그 57544의 수정사항 누락으로 인해 발생했습니다.
💡 쉬운 설명
Apache Tomcat 웹 서버에서 특정 요청을 받으면 프로그램이 무한 반복되는 오류에 빠져 서버가 응답하지 않게 되는 문제입니다. 공격자가 이를 악용하여 웹사이트를 다운시킬 수 있습니다.
🇺🇸 원문 (English)
It was discovered that a programming error in the processing of HTTPS requests in the Apache Tomcat servlet and JSP engine may result in denial of service via an infinite loop. The denial of service is easily achievable as a consequence of backporting a CVE-2016-6816 fix but not backporting the fix for Tomcat bug 57544. Distributions affected by this backporting issue include Debian (before 7.0.56-3+deb8u8 and 8.0.14-1+deb8u7 in jessie) and Ubuntu.
📍 영향받는 시스템
Apache Tomcat 7.0.x (7.0.56-3 이전), 8.0.x (8.0.14-1 이전) - Debian jessie, Ubuntu
⚔️ 공격 벡터
공격자가 특정 HTTPS 요청을 Tomcat 서버에 전송하여 무한 루프를 유발하고 서비스 거부 상태로 만들 수 있습니다.
🛡️ 대응 방법
Tomcat을 7.0.56-3+deb8u8 이상 또는 8.0.14-1+deb8u7 이상으로 업그레이드합니다.
🔧 검증 코드
설치된 Tomcat 패키지의 버전을 확인하여 권장 버전 이상으로 업데이트되었는지 검증합니다.
dpkg -l tomcat7 tomcat8 2>/dev/null | grep -E 'ii' | awk '{print $2":"$3}'