🇰🇷 한글 설명
Apache Tomcat의 Jakarta Authentication 설정에서 발생하는 인증 미흡 취약점입니다. SimpleAuthConfigProvider를 기본 제공자로 사용하고 여러 웹 애플리케이션이 이를 공유할 경우, 첫 번째 애플리케이션의 인증 영역(Realm)이 모든 애플리케이션에 공통으로 적용되는 문제가 발생합니다.
💡 쉬운 설명
서로 다른 웹사이트들이 같은 인증 방식을 사용할 때, 한 사이트의 로그인 정보가 다른 사이트에도 영향을 줄 수 있는 보안 결함입니다. 이로 인해 권한이 없는 사용자가 다른 애플리케이션에 잘못된 인증을 통해 접근할 위험이 있습니다.
🇺🇸 원문 (English)
Improper Authentication vulnerability in Apache Tomcat. When Jakarta Authentication was configured with SimpleAuthConfigProvider as the default provider and multiple web application used that provider, the realm for the first web application to authenticate a request would be used for all web applications.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.25, from 10.1.0-M1 through 10.1.59, from 9.0.0.M4 through 9.0.121.
The following versions were EOL at the time the CVE was created but are
known to be affected: from 8.5.0 through 8.5.100. Other unsupported versions may also be affected.
Users are recommended to upgrade to version 11.0.26, 10.1.60, 9.0.122, which fixes the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M1~11.0.25, 10.1.0-M1~10.1.59, 9.0.0.M4~9.0.121, 8.5.0~8.5.100
⚔️ 공격 벡터
동일한 SimpleAuthConfigProvider를 사용하는 다중 웹 애플리케이션 환경에서 인증 영역 공유를 이용한 권한 우회
🛡️ 대응 방법
Apache Tomcat을 11.0.26, 10.1.60, 9.0.122 이상의 최신 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위(예: 10.1.59 이하 등)에 포함되는지 확인하십시오.
java -jar /path/to/tomcat/lib/catalina.jar version | grep 'Server number'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Apache 제품 보안 업데이트 권고
P4
📅 2026-09-30 · sec_notice
Apache Tomcat 제품에서 인증 우회 및 HTTP 요청 스머글링 등 다수의 보안 취약점이 발견되었습니다. 해당 제품의 특정 버전을 사용하는 사용자는 보안 위협 방지를 위해 반드시 최신 버전으로 업데이트해야 합니다.