🇰🇷 한글 설명
Apache Tomcat의 EncryptInterceptor 문서가 신뢰할 수 없는 네트워크에서 클러스터링을 실행할 수 있다고 잘못 기재되었습니다. 이 인터셉터는 기밀성과 무결성을 제공하지만, 신뢰할 수 없는 네트워크에서 발생할 수 있는 모든 위험, 특히 서비스 거부(DoS) 공격 위험을 완전히 방어하지는 못합니다.
💡 쉬운 설명
Tomcat의 보안 기능이 모든 위험을 막아준다고 설명되어 있었으나, 실제로는 서비스 거부 공격(DoS) 같은 특정 공격에는 취약할 수 있다는 내용입니다. 즉, 보안 기능이 있다고 해서 네트워크 환경을 완전히 안심하고 사용할 수는 없습니다.
🇺🇸 원문 (English)
The documentation of Apache Tomcat 10.1.0-M1 to 10.1.0-M14, 10.0.0-M1 to 10.0.20, 9.0.13 to 9.0.62 and 8.5.38 to 8.5.78 for the EncryptInterceptor incorrectly stated it enabled Tomcat clustering to run over an untrusted network. This was not correct. While the EncryptInterceptor does provide confidentiality and integrity protection, it does not protect against all risks associated with running over any untrusted network, particularly DoS risks.
📍 영향받는 시스템
Apache Tomcat 10.1.0-M1 ~ 10.1.0-M14, 10.0.0-M1 ~ 10.0.20, 9.0.13 ~ 9.0.62, 8.5.38 ~ 8.5.78
⚔️ 공격 벡터
신뢰할 수 없는 네트워크 환경에서 EncryptInterceptor를 사용하는 클러스터링 대상에 대한 서비스 거부(DoS) 공격
🛡️ 대응 방법
영향을 받는 버전을 최신 보안 패치가 적용된 버전으로 업데이트하거나, 신뢰할 수 있는 네트워크 환경에서만 클러스터링을 운영하십시오.
🔧 검증 코드
명령어 실행 결과에 취약한 버전 범위의 Apache Tomcat 버전이 출력되면 해당 시스템은 보안 취약점에 노출된 상태입니다.
java -jar tomcat-version.jar --version 2>/dev/null | grep -E 'Apache Tomcat (10.1.0-M[1-9]|10.1.0-M1[0-4]|10.0.0-M1|10.0.0.20|9.0.[1-3]|9.0.[6-9]|9.0.6[0-2]|8.5.[3-8]|8.5.[7-7])'