🇰🇷 한글 설명
Apache Tomcat의 rewrite valve를 통해 세션 고정(Session Fixation) 취약점이 발생할 수 있습니다. 이 취약점은 공격자가 사용자의 세션 ID를 미리 설정하여 사용자의 권한을 탈취할 수 있게 합니다.
💡 쉬운 설명
해커가 미리 만들어둔 가짜 로그인 통로를 사용자에게 이용하게 하여, 사용자가 로그인했을 때 해커도 함께 로그인된 상태가 되게 만드는 공격입니다. 이를 통해 사용자의 계정을 몰래 제어할 수 있습니다.
🇺🇸 원문 (English)
Session Fixation vulnerability in Apache Tomcat via rewrite valve.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.7, from 10.1.0-M1 through 10.1.41, from 9.0.0.M1 through 9.0.105.
Older, EOL versions may also be affected.
Users are recommended to upgrade to version 11.0.8, 10.1.42 or 9.0.106, which fix the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M1 ~ 11.0.7, 10.1.0-M1 ~ 10.1.41, 9.0.0.M1 ~ 9.0.105
⚔️ 공격 벡터
Rewrite valve를 이용한 세션 ID 조작 및 고정 공격
🛡️ 대응 방법
Apache Tomcat을 11.0.8, 10.1.42 또는 9.0.106 이상의 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위(11.0.7 이하, 10.1.41 이하, 9.0.105 이하)에 포함되는지 확인하십시오.
java -jar tomcat-version-check.jar 2>/dev/null | grep -E 'Apache Tomcat'