🇰🇷 한글 설명
Apache Tomcat의 APR/Native 커넥터 사용 시 공유 리소스에 대한 동기화가 부적절하여 발생하는 레이스 컨디션(Race Condition) 취약점입니다. 특히 클라이언트가 HTTP/2 연결을 종료할 때 문제가 두드러지게 나타납니다.
💡 쉬운 설명
여러 작업이 동시에 같은 자원을 사용하려고 할 때 순서가 꼬여서 발생하는 오류입니다. 해커가 이를 이용해 서버의 동작을 불안정하게 만들거나 예기치 않은 문제를 일으킬 수 있습니다.
🇺🇸 원문 (English)
Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') vulnerability in Apache Tomcat when using the APR/Native connector. This was particularly noticeable with client initiated closes of HTTP/2 connections.
This issue affects Apache Tomcat: from 9.0.0.M1 through 9.0.106.
The following versions were EOL at the time the CVE was created but are
known to be affected: 8.5.0 through 8.5.100. Other, older, EOL versions
may also be affected.
Users are recommended to upgrade to version 9.0.107, which fixes the issue.
📍 영향받는 시스템
Apache Tomcat 9.0.0.M1 ~ 9.0.106, 8.5.0 ~ 8.5.100 (EOL 버전 포함)
⚔️ 공격 벡터
HTTP/2 연결 종료 시 발생하는 동기화 오류를 이용한 레이스 컨디션 공격
🛡️ 대응 방법
Apache Tomcat을 취약점이 해결된 버전인 9.0.107 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 9.0.107 미만인지 확인하여 취약 여부를 판단합니다.
java -jar /path/to/tomcat/bin/version.jar | grep 'Apache Tomcat'