🇰🇷 한글 설명
Apache Tomcat Native 1.2.0~1.2.16 및 1.1.23~1.1.34 버전에서 OCSP 응답을 올바르게 처리하지 못하는 취약점이 발견되었습니다. 이로 인해 폐기된 클라이언트 인증서가 유효한 것으로 잘못 식별될 수 있으며, 상호 TLS(mTLS) 환경에서 폐기된 인증서로 인증을 통과할 수 있는 위험이 있습니다.
💡 쉬운 설명
인증서가 취소되었는지 확인하는 과정에서 오류가 발생하여, 이미 사용이 중지된 가짜 신분증으로도 로그인이 가능한 상태입니다. 보안 인증을 사용하는 서버 환경에서 보안 구멍이 생길 수 있습니다.
🇺🇸 원문 (English)
When using an OCSP responder Apache Tomcat Native 1.2.0 to 1.2.16 and 1.1.23 to 1.1.34 did not correctly handle invalid responses. This allowed for revoked client certificates to be incorrectly identified. It was therefore possible for users to authenticate with revoked certificates when using mutual TLS. Users not using OCSP checks are not affected by this vulnerability.
📍 영향받는 시스템
Apache Tomcat Native 1.2.0-1.2.16, 1.1.23-1.1.34
⚔️ 공격 벡터
폐기된 클라이언트 인증서를 사용하여 상호 TLS(mTLS) 인증 과정을 우회하여 접근
🛡️ 대응 방법
Apache Tomcat Native를 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력된 라이브러리 버전이 취약한 범위(1.2.0-1.2.16 또는 1.1.23-1.1.34)에 해당하는지 확인
aprstat --version 2>/dev/null || find / -name "libtcnative*" 2>/dev/null