🇰🇷 한글 설명
Apache Tomcat의 리소스 할당 제한 부재 취약점으로, 공격자가 무제한으로 서버 리소스를 소비하도록 유도하여 서비스 거부 상태를 야기할 수 있습니다. 메모리, CPU, 연결 수 등의 제한이 없어 악의적인 요청으로 서버를 마비시킬 수 있습니다.
💡 쉬운 설명
Tomcat 웹 서버가 요청이 너무 많거나 자원을 너무 많이 사용하는 것을 막지 못해서, 공격자가 서버를 먹통으로 만들 수 있는 문제입니다. 마치 수돗물 개폐장치가 없는 것처럼 계속 물을 흘려보낼 수 있는 상황과 같습니다.
🇺🇸 원문 (English)
Allocation of Resources Without Limits or Throttling vulnerability in Apache Tomcat.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.21, from 10.1.0-M1 through 10.1.54, from 9.0.0.M1 through 9.0.117.
Older, unsupported versions may also be affected.
Users are recommended to upgrade to version [FIXED_VERSION], which fixes the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M1~11.0.21, 10.1.0-M1~10.1.54, 9.0.0.M1~9.0.117 및 이전 미지원 버전
⚔️ 공격 벡터
HTTP 요청을 대량으로 보내거나 대용량 파일/스트림을 전송하여 서버 메모리/CPU/연결 수를 고갈시키는 서비스 거부(DoS) 공격
🛡️ 대응 방법
Apache Tomcat을 패치된 버전(11.0.22 이상, 10.1.55 이상, 9.0.118 이상)으로 업그레이드하고, 리소스 제한 설정(maxConnections, maxThreads 등)을 검토/강화
🔧 검증 코드
Tomcat이 실행 중이면 HTTP 응답이 반환되고, java -version으로 Tomcat 버전을 확인하거나, RELEASE-NOTES에서 현재 설치된 버전과 영향받는 버전 범위를 비교하여 업그레이드 필요 여부 판단
curl -s http://localhost:8080 2>/dev/null | head -1 && java -version 2>&1 | grep -i tomcat || grep -E 'version|release' /usr/local/tomcat/RELEASE-NOTES.txt 2>/dev/null | head -1