🇰🇷 한글 설명
Apache Tomcat의 HTTP/2 백로그 추적 과정에서 스트림이 리셋될 때 할당 누수가 발생하는 제어되지 않은 리소스 소비 취약점입니다. 이로 인해 시스템 자원이 고갈될 수 있습니다.
💡 쉬운 설명
웹 서버가 통신을 중단하라는 요청을 받았을 때, 사용하던 메모리를 제대로 돌려주지 않고 계속 쌓아두는 문제입니다. 이 현상이 반복되면 서버의 메모리가 가득 차서 서버가 멈출 수 있습니다.
🇺🇸 원문 (English)
Uncontrolled Resource Consumption vulnerability in Apache Tomcat via an allocation leak in the HTTP/2 backlog tracking when a stream is reset
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.24, from 10.1.0-M1 through 10.1.57, from 9.0.39 through 9.0.120.
The following versions were EOL at the time the CVE was created but are
known to be affected: from 8.5.59 through 8.5.100. Other unsupported versions may also be affected.
Users are recommended to upgrade to version 11.0.25, 10.1.58 or 9.0.121, which fix the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M1~11.0.24, 10.1.0-M1~10.1.57, 9.0.39~9.0.120, 8.5.59~8.5.100
⚔️ 공격 벡터
HTTP/2 프로토콜을 사용하여 의도적으로 스트림 리셋을 반복적으로 요청하여 서버 자원을 고갈시킴
🛡️ 대응 방법
Apache Tomcat을 11.0.25, 10.1.58 또는 9.0.121 이상의 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 catalina.jar 파일의 버전 정보가 취약한 버전 범위에 포함되는지 확인하십시오.
java -jar tomcat-version-check.jar || find / -name 'catalina.jar' -exec grep -H 'Version' {} \;
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Apache 제품 보안 업데이트 권고
P4
📅 2026-08-31 · sec_notice
Apache Tomcat에서 인증 우회 및 권한 부여 오류 등 다수의 보안 취약점이 발견되었습니다. 해당 제품 사용 시 공격에 노출될 위험이 있으므로, 즉시 최신 보안 버전으로 업데이트할 것을 권고합니다.