🇰🇷 한글 설명
Apache Tomcat에서 사용자 정의 Jakarta Authentication 구성 요소가 인증 과정 중 예외를 발생시킬 때, HTTP 상태 코드를 명시적으로 설정하지 않으면 인증 실패 처리가 되지 않는 취약점입니다. 이로 인해 공격자가 인증 과정을 우회하여 시스템에 접근할 수 있습니다. 현재 이와 같이 동작하는 알려진 Jakarta Authentication 구성 요소는 없습니다.
💡 쉬운 설명
로그인 과정에서 오류가 발생했을 때, 시스템이 '로그인 실패'라고 제대로 알려주지 않고 그냥 통과시켜 버리는 문제입니다. 이로 인해 비밀번호를 몰라도 로그인이 되는 보안 구멍이 생길 수 있습니다.
🇺🇸 원문 (English)
Unchecked Error Condition vulnerability in Apache Tomcat. If Tomcat is configured to use a custom Jakarta Authentication (formerly JASPIC) ServerAuthContext component which may throw an exception during the authentication process without explicitly setting an HTTP status to indicate failure, the authentication may not fail, allowing the user to bypass the authentication process. There are no known Jakarta Authentication components that behave in this way.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.0-M26, from 10.1.0-M1 through 10.1.30, from 9.0.0-M1 through 9.0.95.
The following versions were EOL at the time the CVE was created but are
known to be affected: 8.5.0 though 8.5.100. Other EOL versions may also be affected.
Users are recommended to upgrade to version 11.0.0, 10.1.31 or 9.0.96, which fix the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M1~11.0.0-M26, 10.1.0-M1~10.1.30, 9.0.0-M1~9.0.95, 8.5.0~8.5.100
⚔️ 공격 벡터
커스텀 인증 구성 요소에서 예외를 유도하여 인증 절차를 우회하는 방식
🛡️ 대응 방법
Apache Tomcat을 11.0.0, 10.1.31 또는 9.0.96 이상의 최신 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 취약한 버전 범위(예: 10.1.30 이하)에 포함되는지 확인하십시오.
java -jar /path/to/tomcat/bin/catalina.sh version | grep 'Apache Tomcat'