🇰🇷 한글 설명
Apache Tomcat의 예제 웹 애플리케이션 내 Form 인증 예제에서 사용자 입력 데이터에 대한 필터링이 누락되어 XSS 취약점이 발생합니다. 이로 인해 공격자가 악성 스크립트를 삽입하여 실행할 수 있습니다.
💡 쉬운 설명
웹사이트의 로그인 연습용 페이지에서 사용자가 입력한 글자를 검사하지 않고 그대로 보여주는 문제입니다. 이를 통해 해커가 나쁜 코드를 심어 사용자의 정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
In Apache Tomcat 10.1.0-M1 to 10.1.0-M16, 10.0.0-M1 to 10.0.22, 9.0.30 to 9.0.64 and 8.5.50 to 8.5.81 the Form authentication example in the examples web application displayed user provided data without filtering, exposing a XSS vulnerability.
📍 영향받는 시스템
Apache Tomcat 10.1.0-M1 ~ 10.1.0-M16, 10.0.0-M1 ~ 10.0.22, 9.0.30 ~ 9.0.64, 8.5.50 ~ 8.5.81
⚔️ 공격 벡터
예제 웹 애플리케이션의 Form 인증 입력란에 악성 스크립트를 포함한 데이터를 전송하여 실행
🛡️ 대응 방법
Apache Tomcat을 취약점이 해결된 최신 버전으로 업데이트하거나, 사용하지 않는 예제(examples) 웹 애플리케이션을 삭제합니다.
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위에 포함되는지 확인합니다.
java -jar /path/to/tomcat/lib/catalina.jar version | grep 'Apache Tomcat'