🇰🇷 한글 설명
Apache Tomcat의 내부 객체 재사용 과정에서 불완전한 정리 작업으로 인해 발생하는 취약점입니다. 특정 오류 발생 시 재사용 프로세스의 일부가 생략되어, 이전 요청 또는 응답의 정보가 다음 요청으로 유출될 수 있습니다.
💡 쉬운 설명
웹 서버가 사용한 메모리를 깨끗이 비우지 않고 다음 사용자에게 전달하는 문제입니다. 이로 인해 앞선 사용자의 개인정보나 중요한 데이터가 다음 사용자에게 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Incomplete Cleanup vulnerability in Apache Tomcat.When recycling various internal objects in Apache Tomcat from 11.0.0-M1 through 11.0.0-M11, from 10.1.0-M1 through 10.1.13, from 9.0.0-M1 through 9.0.80 and from 8.5.0 through 8.5.93, an error could
cause Tomcat to skip some parts of the recycling process leading to
information leaking from the current request/response to the next.
Older, EOL versions may also be affected.
Users are recommended to upgrade to version 11.0.0-M12 onwards, 10.1.14 onwards, 9.0.81 onwards or 8.5.94 onwards, which fixes the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M1~M11, 10.1.0-M1~10.1.13, 9.0.0-M1~9.0.80, 8.5.0~8.5.93 및 이전 EOL 버전
⚔️ 공격 벡터
서버 내부 오류를 유도하여 객체 재사용 시 데이터가 완전히 삭제되지 않도록 조작하여 정보 탈취
🛡️ 대응 방법
Tomcat을 11.0.0-M12, 10.1.14, 9.0.81, 8.5.94 이상 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 취약 범위에 포함되는지 확인하여 보안 패치 여부를 판단합니다.
java -jar tomcat-version.jar | grep -E 'Apache Tomcat (11.0.0-M[0-9]+|10.1.[0-9]{1,2}|9.0.[0-9]{1,2}|8.5.[0-9]{1,2})'