🇰🇷 한글 설명
Apache Tomcat에서 리소스 할당 제한이나 스로틀링이 없는 취약점이 발견되었습니다. 인증되지 않은 공격자가 AJP 요청을 통해 AJP 처리 스레드를 점유함으로써 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
해커가 가짜 요청을 계속 보내 서버의 일꾼(스레드)들을 모두 붙잡아 두는 공격입니다. 이로 인해 서버가 정상적인 사용자의 요청을 처리하지 못하게 됩니다.
🇺🇸 원문 (English)
Allocation of resources without limits or throttling vulnerability in Apache Tomcat allows an unauthenticated AJP request to pin an AJP processing thread leading to denial of service.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.25, from 10.1.0-M1 through 10.1.59, from 9.0.0.M1 through 9.0.121.
The following versions were EOL at the time the CVE was created but are known to be affected: from 8.5.0 through 8.5.100, from 7.0.0 through 7.0.109. Other unsupported versions may also be affected.
Users are recommended to upgrade to version 11.0.26, 10.1.60 or 9.0.122, which fix the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M1~11.0.25, 10.1.0-M1~10.1.59, 9.0.0.M1~9.0.121, 8.5.0~8.5.100, 7.0.0~7.0.109
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 AJP 요청을 전송하여 서버 스레드를 고갈시킴
🛡️ 대응 방법
Apache Tomcat을 11.0.26, 10.1.60 또는 9.0.122 이상 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위에 포함되는지 확인하십시오.
java -jar /path/to/tomcat/bin/version.sh | grep 'Apache Tomcat'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Apache 제품 보안 업데이트 권고
P4
📅 2026-09-30 · sec_notice
Apache Tomcat 제품에서 인증 우회 및 HTTP 요청 스머글링 등 다수의 보안 취약점이 발견되었습니다. 해당 제품의 특정 버전을 사용하는 사용자는 보안 위협 방지를 위해 반드시 최신 버전으로 업데이트해야 합니다.