🇰🇷 한글 설명
Apache Tomcat의 rewrite valve에서 제어 흐름 구현 오류가 발견되었습니다. OR 조건 체인에서 첫 번째 조건이 일치할 경우 이후의 일반 조건들이 건너뛰어지는 취약점입니다.
💡 쉬운 설명
웹사이트의 주소를 자동으로 바꿔주는 기능에서 규칙을 확인하는 순서가 잘못되었습니다. 이로 인해 특정 규칙이 적용되어야 함에도 불구하고 다음 규칙들을 무시하고 지나칠 수 있습니다.
🇺🇸 원문 (English)
Always-Incorrect Control Flow Implementation vulnerability in Apache Tomcat's rewrite valve meant that if the first condition in an OR chain matched, subsequent non-OR conditions were skipped.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.22, from 10.1.0-M1 through 10.1.55, from 9.0.0.M1 through 9.0.118, from 8.5.0 through 8.5.100. Other versions that have reached end of support may also be affected.
Users are recommended to upgrade to version 11.0.23, 10.1.56 or 9.0.119, which fix the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M1~11.0.22, 10.1.0-M1~10.1.55, 9.0.0.M1~9.0.118, 8.5.0~8.5.100
⚔️ 공격 벡터
조작된 URL 요청을 통해 rewrite valve의 조건 검사 로직을 우회하여 의도하지 않은 경로로 접근
🛡️ 대응 방법
Apache Tomcat을 11.0.23, 10.1.56 또는 9.0.119 이상의 버전으로 업그레이드
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위에 포함되는지 확인
java -jar /path/to/tomcat/bin/version.sh | grep 'Apache Tomcat'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Apache Tomcat 제품 보안 업데이트 권고
P4
📅 2026-07-02 · sec_notice
Apache Tomcat 제품에서 제어 흐름 오류 및 에러 조건 미처리 취약점이 발견되었습니다. 영향을 받는 Apache Tomcat 사용자는 최신 보안 패치가 적용된 버전으로 업데이트를 권고합니다.