🇰🇷 한글 설명
Apache Tomcat의 FORM 인증 사용 시 세션 고정(Session Fixation) 공격이 가능한 취약점이 발견되었습니다. 특정 버전 범위에서 공격자가 사용자의 세션을 탈취할 수 있는 짧은 시간적 틈이 존재합니다.
💡 쉬운 설명
해커가 미리 만들어둔 가짜 로그인 세션을 사용자에게 강제로 사용하게 하여, 사용자가 로그인한 후 그 권한을 그대로 가로채는 공격입니다. 공격이 성공하면 해커가 사용자인 것처럼 행동할 수 있습니다.
🇺🇸 원문 (English)
When using FORM authentication with Apache Tomcat 9.0.0.M1 to 9.0.29, 8.5.0 to 8.5.49 and 7.0.0 to 7.0.98 there was a narrow window where an attacker could perform a session fixation attack. The window was considered too narrow for an exploit to be practical but, erring on the side of caution, this issue has been treated as a security vulnerability.
📍 영향받는 시스템
Apache Tomcat 9.0.0.M1-9.0.29, 8.5.0-8.5.49, 7.0.0-7.0.98
⚔️ 공격 벡터
FORM 인증을 사용하는 환경에서 공격자가 미리 설정한 세션 ID를 사용자에게 주입하여 세션을 고정함
🛡️ 대응 방법
Apache Tomcat을 취약점이 해결된 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과의 버전 번호가 취약한 범위(9.0.0.M1-9.0.29 등)에 포함되는지 확인합니다.
curl -s http://localhost:8080/version | grep -E 'Apache-Tomcat/[7|8|9]\.'