🇰🇷 한글 설명
Apache TomEE 콘솔(tomee-webapp)에서 발생하는 XSS(교차 사이트 스크립팅) 취약점입니다. 공격자가 악성 URL을 통해 사용자 브라우저에서 임의의 자바스크립트를 실행할 수 있습니다. 이 문제는 TomEE 7.0.5 버전 이상으로 업그레이드하거나 설치 후 해당 애플리케이션을 삭제하여 완화할 수 있습니다.
💡 쉬운 설명
해커가 만든 특수한 링크를 클릭하면 사용자의 브라우저에서 몰래 나쁜 코드가 실행될 수 있는 보안 약점입니다. 관리 도구인 TomEE 콘솔을 최신 버전으로 바꾸거나 사용하지 않을 때는 삭제하는 것이 안전합니다.
🇺🇸 원문 (English)
The Apache TomEE console (tomee-webapp) has a XSS vulnerability which could allow javascript to be executed if the user is given a malicious URL. This web application is typically used to add TomEE features to a Tomcat installation. The TomEE bundles do not ship with this application included. This issue can be mitigated by removing the application after TomEE is setup (if using the application to install TomEE), using one of the provided pre-configured bundles, or by upgrading to TomEE 7.0.5. This issue is resolve in this commit: b8bbf50c23ce97dd64f3a5d77f78f84e47579863.
📍 영향받는 시스템
Apache TomEE (tomee-webapp 포함 버전, 7.0.5 미만 버전)
⚔️ 공격 벡터
악성 스크립트가 포함된 조작된 URL을 사용자에게 클릭하도록 유도
🛡️ 대응 방법
TomEE를 7.0.5 버전 이상으로 업그레이드하거나, 설치 완료 후 tomee-webapp 애플리케이션을 삭제함
🔧 검증 코드
응답 결과에 tomee-webapp 관련 경로가 포함되어 있다면 해당 취약한 애플리케이션이 활성화되어 있을 가능성이 높습니다.
curl -s http://<target-ip>:<port>/tomee-webapp/ | grep -i 'tomee'