🇰🇷 한글 설명
Apache Tomcat에서 설정된 암호화 알고리즘 우선순위 순서가 보존되지 않는 취약점입니다. 이로 인해 서버가 의도치 않게 약한 암호화 알고리즘을 선택할 수 있으며, 통신 보안이 저하될 수 있습니다. Apache Tomcat 9.0.114~9.0.115, 10.1.51~10.1.52, 11.0.16~11.0.18 버전이 영향을 받습니다.
💡 쉬운 설명
웹 서버가 보안 통신 시 어떤 암호화 방식을 사용할지 결정하는 순서가 무시되는 문제입니다. 관리자가 강한 암호화를 먼저 사용하도록 설정해도 서버가 이를 따르지 않아 약한 암호화로 통신할 수 있습니다.
🇺🇸 원문 (English)
Configured cipher preference order not preserved vulnerability in Apache Tomcat.
This issue affects Apache Tomcat: from 11.0.16 through 11.0.18, from 10.1.51 through 10.1.52, from 9.0.114 through 9.0.115.
Users are recommended to upgrade to version 11.0.20, 10.1.53 or 9.0.116, which fix the issue.
📍 영향받는 시스템
Apache Tomcat 9.0.114~9.0.115, 10.1.51~10.1.52, 11.0.16~11.0.18
⚔️ 공격 벡터
네트워크를 통해 TLS/SSL 협상 과정에서 약한 암호화 알고리즘 강제 선택 유도 (중간자 공격 가능성)
🛡️ 대응 방법
Apache Tomcat을 9.0.116, 10.1.53, 11.0.20 이상 버전으로 업그레이드
🔧 검증 코드
출력된 Server version에서 Tomcat 버전을 확인하여 9.0.114~9.0.115, 10.1.51~10.1.52, 11.0.16~11.0.18 범위에 해당하면 취약한 버전임
find /opt /usr/local /home -name 'catalina.sh' 2>/dev/null | head -1 | xargs -I{} sh -c '{} version 2>/dev/null' | grep -i 'server version\|tomcat'