🇰🇷 한글 설명
Apache Tomcat의 EncryptInterceptor 기본 설정에서 Padding Oracle 취약점이 발견되었습니다. 공격자는 이 취약점을 이용해 암호화된 데이터를 복호화하거나 악의적인 데이터를 위조할 수 있습니다. Apache Tomcat 7.0.100~11.0.18 범위의 다양한 버전이 영향을 받습니다.
💡 쉬운 설명
암호화 방식의 결함으로 인해 공격자가 서버의 암호화된 정보를 조금씩 추측하여 해독할 수 있는 취약점입니다. 마치 자물쇠의 미세한 반응을 이용해 조합을 알아내는 것처럼, 서버 응답 차이를 이용해 비밀 데이터를 알아낼 수 있습니다.
🇺🇸 원문 (English)
Padding Oracle vulnerability in Apache Tomcat's EncryptInterceptor with default configuration.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.18, from 10.0.0-M1 through 10.1.52, from 9.0.13 through 9..115, from 8.5.38 through 8.5.100, from 7.0.100 through 7.0.109.
Users are recommended to upgrade to version 11.0.19, 10.1.53 and 9.0.116, which fixes the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M1~11.0.18, 10.0.0-M1~10.1.52, 9.0.13~9.0.115, 8.5.38~8.5.100, 7.0.100~7.0.109
⚔️ 공격 벡터
네트워크를 통해 EncryptInterceptor가 활성화된 Tomcat 서버에 조작된 암호문을 반복 전송하여 서버 응답 차이(오류 메시지/응답 시간)를 분석해 평문 데이터 복원 또는 위조
🛡️ 대응 방법
Apache Tomcat을 11.0.19, 10.1.53, 9.0.116 이상으로 업그레이드하거나, EncryptInterceptor 사용 시 GCM 모드 등 인증된 암호화 방식으로 설정 변경
🔧 검증 코드
출력된 'Server version' 줄에서 Tomcat 버전을 확인하여 11.0.19, 10.1.53, 9.0.116 미만이면 취약한 버전이므로 즉시 업그레이드 필요
find /opt /usr/local /var -name 'catalina.sh' 2>/dev/null -exec {} version \; 2>/dev/null | grep -E 'Server version|Apache Tomcat' | head -5