🇰🇷 한글 설명
Apache Tomcat의 HTTP/2 요청 처리 과정에서 요청 및 응답 객체의 재사용 및 재활용 로직이 잘못되어 발생하는 취약점입니다. 이로 인해 서로 다른 사용자 간에 요청 또는 응답 데이터가 뒤섞이는 문제가 발생할 수 있습니다.
💡 쉬운 설명
웹 서버가 사용자의 요청을 처리한 후 정보를 깨끗이 지우지 않고 다음 사람에게 전달하는 실수입니다. 이로 인해 다른 사용자의 개인정보나 데이터가 잘못 전달될 위험이 있습니다.
🇺🇸 원문 (English)
Incorrect object re-cycling and re-use vulnerability in Apache Tomcat. Incorrect recycling of the request and response used by HTTP/2 requests
could lead to request and/or response mix-up between users.
This issue affects Apache Tomcat: from 11.0.0-M23 through 11.0.0-M26, from 10.1.27 through 10.1.30, from 9.0.92 through 9.0.95.
Users are recommended to upgrade to version 11.0.0, 10.1.31 or 9.0.96, which fixes the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M23 ~ 11.0.0-M26, 10.1.27 ~ 10.1.30, 9.0.92 ~ 9.0.95
⚔️ 공격 벡터
HTTP/2 프로토콜을 사용하는 환경에서 다수의 요청을 보낼 때 객체 재활용 오류를 유도하여 데이터 혼선 유발
🛡️ 대응 방법
Apache Tomcat을 11.0.0, 10.1.31 또는 9.0.96 이상의 버전으로 업그레이드하십시오.
🔧 검증 코드
설치된 Tomcat의 catalina.jar 파일 내 버전 정보를 확인하여 취약한 버전 범위에 포함되는지 확인합니다.
java -jar tomcat-version-check.jar || find / -name 'catalina.jar' -exec grep -H 'Version' {} \;