🇰🇷 한글 설명
Apache Tomcat의 AJP 시크릿 비교 시 실행 시간 차이로 인한 타이밍 공격 취약점. 공격자가 응답 시간 분석을 통해 시크릿값을 추측할 수 있음. 7.0.0부터 11.0.21까지의 다양한 버전이 영향받음.
💡 쉬운 설명
웹 서버의 보안 인증 과정에서 정답 여부에 따라 처리 시간이 다르게 드러나는 결함. 이를 이용하면 공격자가 비밀번호를 효율적으로 추측할 수 있음.
🇺🇸 원문 (English)
Observable Timing Discrepancy vulnerability when comparing AJP secret in Apache Tomcat.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.21, from 10.1.0-M1 through 10.1.54, from 9.0.0.M1 through 9.0.117, from 8.5.0 through 8.5.100, from 7.0.0 through 7.0.109.
Older unsupported versions may also be affected.
Users are recommended to upgrade to version 11.0.22, 10.1.55 or 9.0.118 which fix the issue.
📍 영향받는 시스템
Tomcat 7.0.0~7.0.109, 8.5.0~8.5.100, 9.0.0~9.0.117, 10.1.0~10.1.54, 11.0.0~11.0.21
⚔️ 공격 벡터
AJP 프로토콜 통신 중 시크릿 인증 시간 측정을 통한 타이밍 공격으로 시크릿값 추측
🛡️ 대응 방법
Tomcat을 11.0.22, 10.1.55, 9.0.118 이상의 패치된 버전으로 업그레이드
🔧 검증 코드
설치된 Tomcat 버전 확인 후 영향받는 범위(7.0.0~7.0.109, 8.5.0~8.5.100, 9.0.0~9.0.117, 10.1.0~10.1.54, 11.0.0~11.0.21)에 포함되는지 확인; 포함될 경우 즉시 업그레이드 필요
dpkg -l | grep tomcat | awk '{print $2, $3}' && rpm -qa 2>/dev/null | grep -i tomcat