🇰🇷 한글 설명
Apache Tomcat에서 CLIENT_CERT 인증 방식 사용 시 소프트 실패(soft fail)가 비활성화되고 FFM(Filter-based Forward Mapping)이 적용된 일부 시나리오에서 인증이 예상대로 실패하지 않는 취약점입니다. 이로 인해 클라이언트 인증서 검증이 우회될 수 있습니다. Apache Tomcat 9.0.92~9.0.116, 10.1.22~10.1.53, 11.0.0-M14~11.0.20 버전이 영향을 받습니다.
💡 쉬운 설명
웹 서버(Apache Tomcat)에서 인증서로 사용자를 확인하는 기능이 특정 조건에서 제대로 거부하지 않아, 인증되지 않은 사용자가 접근할 수 있게 됩니다. 마치 출입문 잠금장치가 특정 상황에서 열려 있는 것과 같습니다.
🇺🇸 원문 (English)
CLIENT_CERT authentication does not fail as expected for some scenarios when soft fail is disabled and FFM is used in Apache Tomcat.
This issue affects Apache Tomcat: from 11.0.0-M14 through 11.0.20, from 10.1.22 through 10.1.53, from 9.0.92 through 9.0.116.
Users are recommended to upgrade to version 11.0.21, 10.1.54 or 9.0.117, which fixes the issue.
📍 영향받는 시스템
Apache Tomcat 9.0.92~9.0.116, 10.1.22~10.1.53, 11.0.0-M14~11.0.20 (CLIENT_CERT 인증 + FFM 사용 환경)
⚔️ 공격 벡터
FFM 설정 환경에서 유효하지 않거나 없는 클라이언트 인증서로 요청을 보내 인증 우회 시도
🛡️ 대응 방법
Apache Tomcat을 9.0.117, 10.1.54, 또는 11.0.21 이상으로 업그레이드
🔧 검증 코드
출력된 Implementation-Version 값이 9.0.117, 10.1.54, 11.0.21 미만이면 취약한 버전이므로 즉시 업그레이드 필요
find /opt /usr/local /usr/share -name 'catalina.jar' 2>/dev/null -exec sh -c 'unzip -p "$1" META-INF/MANIFEST.MF 2>/dev/null | grep -i implementation-version' _ {} \;