🇰🇷 한글 설명
Apache Tomcat 및 Tomcat Native에서 CLIENT_CERT 인증 방식 사용 시, soft fail이 비활성화된 특정 시나리오에서 인증 실패가 예상대로 동작하지 않는 취약점입니다. 이로 인해 유효하지 않은 클라이언트 인증서로도 인증이 통과될 수 있으며, 인증 우회를 통한 비인가 접근이 가능합니다.
💡 쉬운 설명
웹 서버(Apache Tomcat)가 클라이언트 인증서로 신원을 확인할 때, 특정 상황에서 잘못된 인증서도 통과시켜 버리는 오류입니다. 마치 경비원이 가짜 신분증을 진짜로 착각하고 출입을 허용하는 것과 같습니다.
🇺🇸 원문 (English)
CLIENT_CERT authentication does not fail as expected for some scenarios when soft fail is disabled vulnerability in Apache Tomcat, Apache Tomcat Native.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.18, from 10.1.0-M7 through 10.1.52, from 9.0.83 through 9.0.115; Apache Tomcat Native: from 1.1.23 through 1.1.34, from 1.2.0 through 1.2.39, from 1.3.0 through 1.3.6, from 2.0.0 through 2.0.13.
Users are recommended to upgrade to version Tomcat Native 1.3.7 or 2.0.14 and Tomcat 11.0.20, 10.1.53 and 9.0.116, which fix the issue.
📍 영향받는 시스템
Apache Tomcat 9.0.83~9.0.115, 10.1.0-M7~10.1.52, 11.0.0-M1~11.0.18 / Tomcat Native 1.1.23~1.1.34, 1.2.0~1.2.39, 1.3.0~1.3.6, 2.0.0~2.0.13
⚔️ 공격 벡터
CLIENT_CERT 인증이 활성화된 Tomcat 서버에 유효하지 않거나 만료된 클라이언트 인증서를 제시하여 인증 우회 시도
🛡️ 대응 방법
Tomcat Native 1.3.7 또는 2.0.14, Tomcat 9.0.116, 10.1.53, 11.0.20 이상으로 즉시 업그레이드
🔧 검증 코드
'Server number' 출력값이 9.0.116, 10.1.53, 11.0.20 미만이면 취약한 버전이며, 출력이 없으면 해당 경로에 Tomcat이 설치되지 않은 것입니다.
find /opt /usr/local /usr/share -name 'catalina.sh' 2>/dev/null -exec sh -c '{} version 2>/dev/null | grep -E "Server version|Server number"' \;