🇰🇷 한글 설명
Apache Tomcat에서 TLS 핸드셰이크 과정을 악용하여 리소스 제한 없이 메모리를 할당할 수 있는 취약점입니다. 공격자는 이를 통해 시스템의 메모리를 고갈시켜 OutOfMemoryError를 유발하고 서비스를 중단시킬 수 있습니다.
💡 쉬운 설명
해커가 보안 연결을 설정하는 과정을 교묘하게 이용해 서버의 메모리를 전부 써버리게 만드는 공격입니다. 이로 인해 서버가 과부하에 걸려 정상적인 서비스를 제공하지 못하게 됩니다.
🇺🇸 원문 (English)
Allocation of Resources Without Limits or Throttling vulnerability in Apache Tomcat.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.0-M20, from 10.1.0-M1 through 10.1.24, from 9.0.13 through 9.0.89.
The following versions were EOL at the time the CVE was created but are
known to be affected: 8.5.35 through 8.5.100 and 7.0.92 through 7.0.109. Other EOL versions may also be affected.
Users are recommended to upgrade to version 11.0.0-M21, 10.1.25, or 9.0.90, which fixes the issue.
Apache Tomcat, under certain configurations on any platform, allows an attacker to cause an OutOfMemoryError by abusing the TLS handshake process.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M1~M20, 10.1.0-M1~10.1.24, 9.0.13~9.0.89, 8.5.35~8.5.100, 7.0.92~7.0.109
⚔️ 공격 벡터
TLS 핸드셰이크 프로세스를 악용하여 비정상적인 메모리 할당 유도
🛡️ 대응 방법
Apache Tomcat을 11.0.0-M21, 10.1.25, 또는 9.0.90 이상 버전으로 업그레이드
🔧 검증 코드
출력된 Server version이 취약한 버전 범위에 포함되는지 확인
java -jar /path/to/tomcat/bin/version.sh 2>/dev/null | grep -E 'Server version'