🇰🇷 한글 설명
Apache Tomcat의 제어 흐름 구현 오류로 인해, 유효한 web.xml을 로그로 기록할 때 특수 역할 및 빈 권한 제약 조건이 누락되는 취약점입니다. 이로 인해 보안 설정이 로그에 정확히 반영되지 않아 보안 관리자가 잘못된 상태를 인지할 위험이 있습니다.
💡 쉬운 설명
서버의 보안 설정 내용을 기록할 때 일부 중요한 보안 규칙이 빠진 채로 기록되는 문제입니다. 이로 인해 실제로는 보안이 적용되어 있어도 로그상으로는 보안이 없는 것처럼 보이거나 그 반대의 상황이 발생할 수 있습니다.
🇺🇸 원문 (English)
Always-Incorrect Control Flow Implementation vulnerability in Apache Tomcat meant that special roles and empty authorisation constraints were not included when the effective web.xml was logged.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.22, from 10.1.0-M1 through 10.1.55, from 9.0.0.M1 through 9.0.118, from 8.5.0 through 8.5.100. Other versions that have reached end of support may also be affected.
Users are recommended to upgrade to version 11.0.23, 10.1.56 or 9.0.119 which fixes the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M1~11.0.22, 10.1.0-M1~10.1.55, 9.0.0.M1~9.0.118, 8.5.0~8.5.100
⚔️ 공격 벡터
로그 기록 시 보안 설정 누락을 이용한 보안 관리자의 오판 유도 및 설정 검증 우회
🛡️ 대응 방법
Apache Tomcat을 11.0.23, 10.1.56 또는 9.0.119 이상 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 취약한 버전 범위에 포함되는지 확인하십시오.
java -jar /path/to/tomcat/bin/version.sh | grep 'Apache Tomcat'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Apache Tomcat 제품 보안 업데이트 권고
P4
📅 2026-07-02 · sec_notice
Apache Tomcat 제품에서 제어 흐름 오류 및 에러 조건 미처리 취약점이 발견되었습니다. 영향을 받는 Apache Tomcat 사용자는 최신 보안 패치가 적용된 버전으로 업데이트를 권고합니다.