🇰🇷 한글 설명
Apache Tomcat Native 1.2.0~1.2.16 및 1.1.23~1.1.34 버전에서 OCSP 사전 생성 응답을 적절히 검사하지 못하는 결함이 발견되었습니다. 이로 인해 폐기된 클라이언트 인증서가 제대로 식별되지 않아, 상호 TLS(mTLS)가 필요한 연결에서 폐기된 인증서로도 인증이 가능할 수 있습니다.
💡 쉬운 설명
사용자의 신분증(인증서)이 유효한지 확인하는 과정에서, 이미 취소된 신분증인지 제대로 체크하지 못하는 문제입니다. 이로 인해 블랙리스트에 오른 사용자가 시스템에 접속할 위험이 있습니다.
🇺🇸 원문 (English)
Apache Tomcat Native 1.2.0 to 1.2.16 and 1.1.23 to 1.1.34 has a flaw that does not properly check OCSP pre-produced responses, which are lists (multiple entries) of certificate statuses. Subsequently, revoked client certificates may not be properly identified, allowing for users to authenticate with revoked certificates to connections that require mutual TLS. Users not using OCSP checks are not affected by this vulnerability.
📍 영향받는 시스템
Apache Tomcat Native 1.2.0-1.2.16, 1.1.23-1.1.34
⚔️ 공격 벡터
폐기된 클라이언트 인증서를 사용하여 상호 TLS 인증을 우회하여 접속 시도
🛡️ 대응 방법
Apache Tomcat Native를 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력된 라이브러리 버전을 확인하여 취약한 버전 범위(1.2.0-1.2.16 또는 1.1.23-1.1.34)에 해당하는지 대조
tcnative --version 2>/dev/null || find / -name "libtcnative*" 2>/dev/null