🇰🇷 한글 설명
Apache Tomcat의 로그 메시지에서 ANSI 이스케이프 시퀀스가 제대로 무효화되지 않는 취약점입니다. Windows 콘솔에서 ANSI 이스케이프 시퀀스를 지원하는 경우, 공격자는 특별히 제작된 URL을 통해 이스케이프 시퀀스를 주입하여 콘솔과 클립보드를 조작하고 관리자를 속여 공격자 제어 명령을 실행하도록 유도할 수 있습니다.
💡 쉬운 설명
Tomcat 로그에 특수 제어 문자가 제대로 처리되지 않아 공격자가 콘솔을 조종할 수 있습니다. 관리자가 악의적인 명령을 실행하도록 속을 수 있는 심각한 위험이 있습니다.
🇺🇸 원문 (English)
Improper Neutralization of Escape, Meta, or Control Sequences vulnerability in Apache Tomcat.
Tomcat did not escape ANSI escape sequences in log messages. If Tomcat was running in a console on a Windows operating system, and the console supported ANSI escape sequences, it was possible for an attacker to use a specially crafted URL to inject ANSI escape sequences to manipulate the console and the clipboard and attempt to trick an administrator into running an attacker controlled command. While no attack vector was found, it may have been possible to mount this attack on other operating systems.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.10, from 10.1.0-M1 through 10.1.44, from 9.0.40 through 9.0.108.
The following versions were EOL at the time the CVE was created but are
known to be affected: 8.5.60 though 8.5.100. Other, older, EOL versions may also be affected.
Users are recommended to upgrade to version 11.0.11 or later, 10.1.45 or later or 9.0.109 or later, which fix the issue.
📍 영향받는 시스템
Tomcat 11.0.0-M1~11.0.10, 10.1.0-M1~10.1.44, 9.0.40~9.0.108, 8.5.60~8.5.100(EOL)
⚔️ 공격 벡터
특별히 제작된 URL을 통해 ANSI 이스케이프 시퀀스를 로그에 주입하여 Windows 콘솔 조작 시도
🛡️ 대응 방법
Tomcat을 11.0.11 이상, 10.1.45 이상, 또는 9.0.109 이상으로 업그레이드
🔧 검증 코드
설치된 Tomcat 버전을 확인하여 취약 버전 범위(9.0.40~9.0.108, 10.1.0-M1~10.1.44, 11.0.0-M1~11.0.10)에 포함되는지 비교
dpkg -l 2>/dev/null | grep -i tomcat | awk '{print $2, $3}'