🇰🇷 한글 설명
Apache Tomcat의 OpenSSL 및 OpenSSL-FFM TLS 구현체에서 인증서 폐기 목록(CRL)을 확인하지 않는 취약점이 발견되었습니다. 인증서가 키스토어를 사용하는 경우 폐기된 인증서임에도 불구하고 유효한 것으로 간주될 수 있습니다.
💡 쉬운 설명
사용 중인 보안 인증서가 유효하지 않다고 신고되었음에도 불구하고, 서버가 이를 확인하지 않고 그대로 통과시키는 문제입니다. 이로 인해 탈취된 인증서가 악용될 위험이 있습니다.
🇺🇸 원문 (English)
Improper Check for Certificate Revocation vulnerability in Apache Tomcat. Both the OpenSSL and OpenSSL-FFM TLS implementations ignore CRLs when certificate uses a keystore.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.25, from 10.1.0-M1 through 10.1.59, from 9.0.0-M1 through 9.0.121.
The following versions were EOL at the time the CVE was created but are
known to be affected: from 8.5.0 through 8.5.100. Other unsupported versions may also be affected.
Users are recommended to upgrade to version 11.0.26, 10.1.59, 9.0.122, which fixes the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M1~11.0.25, 10.1.0-M1~10.1.59, 9.0.0-M1~9.0.121, 8.5.0~8.5.100
⚔️ 공격 벡터
폐기된 인증서를 사용하여 서버에 연결함으로써 보안 검증을 우회하는 방식
🛡️ 대응 방법
Apache Tomcat을 11.0.26, 10.1.60(또는 10.1.59 이상), 9.0.122 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 Server version이 취약한 버전 범위에 포함되는지 확인하십시오.
java -jar /path/to/tomcat/bin/version.sh 2>/dev/null | grep 'Server version'