🇰🇷 한글 설명
Apache Tomcat의 JNDI realm이 GSSAPI SASL이 아닌 다른 인증 메커니즘을 사용하도록 설정된 경우, 인증 과정에서 필수 단계가 누락되는 취약점이 존재합니다. 이로 인해 공격자가 올바른 비밀번호를 제공하지 않고도 인증을 통과할 수 있습니다.
💡 쉬운 설명
로그인 과정에서 확인해야 할 중요한 단계가 빠져 있어서, 비밀번호를 몰라도 로그인이 가능해지는 보안 결함입니다. 해커가 아무런 제약 없이 시스템에 접속할 수 있는 위험한 상태입니다.
🇺🇸 원문 (English)
A missing critical step in authentication vulnerability in Apache Tomcat when the JNDI realm was configured with with a non GSSAPI SASL authentication mechanism allowed attackers to authenticate without providing the correct password.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.26, from 10.1.0-M1 through 10.1.60, from 9.0.0.M1 through 9.0.122.
The following versions were EOL at the time the CVE was created but are known to be affected: from 8.5.0 through 8.5.100, from 7.0.0 through 7.0.109. Other unsupported versions may also be affected.
Users are recommended to upgrade to version 11.0.27, 10.1.61 or 9.0.123, which fix the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M1~11.0.26, 10.1.0-M1~10.1.60, 9.0.0.M1~9.0.122, 8.5.0~8.5.100, 7.0.0~7.0.109
⚔️ 공격 벡터
비밀번호 없이 인증 절차를 우회하여 시스템에 접근하는 인증 우회 공격
🛡️ 대응 방법
Apache Tomcat을 버전 11.0.27, 10.1.61 또는 9.0.123 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 Server version이 취약한 버전 범위에 포함되는지 확인하십시오.
java -jar /path/to/tomcat/bin/version.sh | grep 'Server version'