🇰🇷 한글 설명
Apache Tomcat의 OpenSSLLifecycleListener 설정 시 FIPS 모드 활성화에 실패하더라도 오류를 기록한 후 비-FIPS 모드인 JSSE를 계속 사용하여 보안 정책을 준수하지 못하는 취약점입니다. 이는 보안 요구 사항이 엄격한 환경에서 의도치 않게 낮은 보안 수준으로 운영될 수 있음을 의미합니다.
💡 쉬운 설명
보안 강화를 위해 특수 모드(FIPS)를 켜려고 했는데 실패했을 때, 시스템이 멈추지 않고 보안이 낮은 일반 모드로 그냥 작동해버리는 문제입니다. 보안 규칙을 반드시 지켜야 하는 상황에서 보안 수준이 낮아진 채로 서비스가 계속될 수 있습니다.
🇺🇸 원문 (English)
Not Failing Securely ('Failing Open') vulnerability in Apache Tomcat. If the OpenSSLLifecycleListener is configured to use FIPS mode but FIPS activation fails, Tomcat logs and error but continues to use JSSE in non-FIPS mode with the provided configuration.
This issue affects Apache Tomcat: from 11.0.0-M14 through 11.0.26, from 10.1.22 through 10.1.60, from 9.0.92 through 9.0.122.
Users are recommended to upgrade to version 11.0.27, 10.1.61 or 9.0.123, which fix the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M14 ~ 11.0.26, 10.1.22 ~ 10.1.60, 9.0.92 ~ 9.0.122
⚔️ 공격 벡터
직접적인 공격보다는 설정 오류나 환경 문제로 인해 보안 정책이 강제로 완화되는 구성적 취약점입니다.
🛡️ 대응 방법
Apache Tomcat을 11.0.27, 10.1.61 또는 9.0.123 이상의 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 취약한 버전 범위(11.0.26 이하, 10.1.60 이하, 9.0.122 이하)에 포함되는지 확인합니다.
java -jar /path/to/tomcat/bin/version.sh | grep 'Apache Tomcat'