🇰🇷 한글 설명
Apache Tomcat의 rewrite valve에서 URL 인코딩(Hex Encoding)을 부적절하게 처리하여 발생하는 보안 취약점입니다. 특정 설정 환경에서 보안 제약 사항을 우회할 수 있는 위험이 있습니다.
💡 쉬운 설명
웹사이트의 주소를 변형하여 보안 검사를 교묘하게 통과할 수 있는 결함이 발견되었습니다. 이를 통해 공격자가 허가되지 않은 페이지에 접근할 수 있습니다.
🇺🇸 원문 (English)
Improper Handling of URL Encoding (Hex Encoding) vulnerability in Apache Tomcat's rewrite valve allowed security constraint bypass for some configurations.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.23, from 10.1.0-M1 through 10.1.56, from 9.0.0.M1 through 9.0.119, from 8.5.0 through 8.5.100. Other versions that have reached end of support may also be affected.
Users are recommended to upgrade to version 11.0.24, 10.1.57 or 9.0.120, which fix the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M1~11.0.23, 10.1.0-M1~10.1.56, 9.0.0.M1~9.0.119, 8.5.0~8.5.100
⚔️ 공격 벡터
Hex 인코딩된 URL을 사용하여 rewrite valve의 보안 규칙을 우회하는 방식
🛡️ 대응 방법
Apache Tomcat을 11.0.24, 10.1.57 또는 9.0.120 이상의 최신 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 Server version이 취약한 버전 범위에 포함되는지 확인하십시오.
find / -name tomcat* 2>/dev/null | xargs -I {} {}/bin/version.sh 2>/dev/null | grep 'Server version'