🇰🇷 한글 설명
Apache Tomcat의 JNDIRealm 설정에서 GSSAPI를 사용하여 인증을 수행할 때 필수적인 인증 단계가 누락되는 취약점입니다. 이로 인해 공격자가 올바른 비밀번호를 제공하지 않고도 인증을 통과할 수 있습니다.
💡 쉬운 설명
로그인 과정에서 확인해야 할 중요한 단계가 빠져 있어서, 비밀번호를 몰라도 로그인이 가능해지는 보안 구멍이 발견되었습니다. 해커가 아무런 제약 없이 시스템에 접속할 위험이 있습니다.
🇺🇸 원문 (English)
Missing Critical Step in Authentication vulnerability in Apache Tomcat when the JNDIRealm was configured to authenticate binds using GSSAPI allowed attackers to authenticate without provided the correct password.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.4, from 10.1.0-M1 through 10.1.36, from 9.0.0.M1 through 9.0.100, from 8.5.0 through 8.5.100, from 7.0.0 through 7.0.109.
Users are recommended to upgrade to version 11.0.5, 10.1.37 or 9.0.101, which fixes the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M1~11.0.4, 10.1.0-M1~10.1.36, 9.0.0.M1~9.0.100, 8.5.0~8.5.100, 7.0.0~7.0.109
⚔️ 공격 벡터
GSSAPI를 사용하는 JNDIRealm 환경에서 인증 절차를 우회하여 무단 접속 시도
🛡️ 대응 방법
Apache Tomcat을 11.0.5, 10.1.37, 9.0.101 또는 그 이상의 최신 버전으로 업그레이드하십시오.
🔧 검증 코드
명령어 결과에 출력되는 버전이 취약한 버전 범위에 포함되는지 확인하십시오.
java -jar tomcat-version.jar | grep -E 'Apache Tomcat (11.0.[0-4]|10.1.[0-36]|9.0.[0-100]|8.5.[0-100]|7.0.[0-109])'