🇰🇷 한글 설명
Apache Tomcat의 LockOutRealm에서 대소문자 구분 처리 오류로 인해 발생하는 취약점입니다. 이를 악용하면 인증 우회 또는 계정 잠금 메커니즘을 우회할 수 있습니다. 영향받는 버전은 7.0.0부터 11.0.21까지의 여러 Tomcat 시리즈입니다.
💡 쉬운 설명
Tomcat 웹 서버의 계정 잠금 기능이 대문자와 소문자를 제대로 구분하지 못해 생기는 문제입니다. 공격자는 케이스를 변형한 사용자명으로 계정 보호를 우회할 수 있습니다.
🇺🇸 원문 (English)
Improper Handling of Case Sensitivity vulnerability in LockOutRealm in Apache Tomcat.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.21, from 10.1.0-M1 through 10.1.54, from 9.0.0.M1 through 9.0.117, from 8.5.0 through 8.5.100, from 7.0.0 through 7.0.109.
Older unsupported versions may also be affected.
Users are recommended to upgrade to version 11.0.22, 10.1.55 or 9.0.118 which fix the issue.
📍 영향받는 시스템
Apache Tomcat 7.0.0-7.0.109, 8.5.0-8.5.100, 9.0.0-9.0.117, 10.1.0-10.1.54, 11.0.0-11.0.21
⚔️ 공격 벡터
사용자명의 대소문자 변형(예: admin vs Admin)을 이용한 LockOutRealm 보안 메커니즘 우회
🛡️ 대응 방법
Tomcat을 9.0.118, 10.1.55, 11.0.22 이상 또는 해당 시리즈의 최신 패치 버전으로 업그레이드
🔧 검증 코드
설치된 Tomcat 패키지 버전을 확인하여 취약한 버전 범위(7.0.0-11.0.21)에 해당하는지 검증
dpkg -l | grep tomcat && echo '=== Debian/Ubuntu ===' || rpm -qa | grep tomcat && echo '=== RHEL/CentOS ==='