🇰🇷 한글 설명
Apache Tomcat의 특정 버전에서 TLS 패킷을 적절히 검증하지 못하는 취약점이 발견되었습니다. NIO+OpenSSL 또는 NIO2+OpenSSL을 사용하는 설정에서 특수하게 제작된 패킷을 보내면 무한 루프가 발생하여 서비스 거부(DoS) 상태에 빠질 수 있습니다.
💡 쉬운 설명
해커가 조작된 데이터를 보내면 서버가 끝없는 계산 작업에 빠져 멈춰버리는 문제입니다. 이로 인해 웹사이트 접속이 불가능해질 수 있습니다.
🇺🇸 원문 (English)
Apache Tomcat 8.5.0 to 8.5.63, 9.0.0-M1 to 9.0.43 and 10.0.0-M1 to 10.0.2 did not properly validate incoming TLS packets. When Tomcat was configured to use NIO+OpenSSL or NIO2+OpenSSL for TLS, a specially crafted packet could be used to trigger an infinite loop resulting in a denial of service.
📍 영향받는 시스템
Apache Tomcat 8.5.0-8.5.63, 9.0.0-M1-9.0.43, 10.0.0-M1-10.0.2
⚔️ 공격 벡터
NIO/NIO2와 OpenSSL을 사용하는 환경에서 조작된 TLS 패킷 전송
🛡️ 대응 방법
Apache Tomcat을 최신 보안 패치가 적용된 버전(8.5.64, 9.0.44, 10.0.3 이상)으로 업데이트
🔧 검증 코드
출력된 버전 번호가 취약한 범위(8.5.63 이하, 9.0.43 이하, 10.0.2 이하)에 포함되는지 확인
java -jar /path/to/tomcat/bin/version.jar | grep 'Apache Tomcat'