🇰🇷 한글 설명
Apache Tomcat의 부적절한 권한 부여 취약점으로, 기본 서블릿에 지정된 보안 제약 조건이 설정된 HTTP 메서드나 메서드 생략 설정을 무시합니다. 이로 인해 특정 메서드에 대해 적용되어야 할 보안 규칙이 제대로 작동하지 않을 수 있습니다.
💡 쉬운 설명
웹 서버의 보안 규칙이 특정 요청 방식(메서드)을 제대로 검사하지 못하는 문제입니다. 공격자가 보안 규칙을 우회하여 허용되지 않은 동작을 수행할 위험이 있습니다.
🇺🇸 원문 (English)
Improper Authorization vulnerability in Apache Tomcat leads to security constraints specified for the default servlet ignoring any method or method omission configured as part of the constraint.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.22, from 10.1.0-M1 through 10.1.55, from 9.0.0.M1 through 9.0.118, from 8.5.0 through 8.5.100, from 7.0.0 through 7.0.109. Other versions that have reached end of support may also be affected.
Users are recommended to upgrade to version 11.0.23, 10.1.56 or 9.0.119, which fix the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M1~11.0.22, 10.1.0-M1~10.1.55, 9.0.0.M1~9.0.118, 8.5.0~8.5.100, 7.0.0~7.0.109
⚔️ 공격 벡터
보안 제약 조건이 무시되는 특정 HTTP 메서드를 사용하여 권한이 없는 요청을 전송
🛡️ 대응 방법
Apache Tomcat을 11.0.23, 10.1.56 또는 9.0.119 이상의 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 취약점이 해결된 버전(11.0.23+, 10.1.56+, 9.0.119+)인지 확인
java -jar tomcat-version.jar | grep -E '11.0\.(2[3-9]|3[0-9])|10.1\.(5[6-9]|6[0-9])|9.0\.(1[1-9][9])'