🇰🇷 한글 설명
Apache Tomcat의 비동기 WebSocket 쓰기 작업에서 타임아웃 손실로 인해 리소스가 적절히 해제되지 않는 취약점입니다. 잘못된 비교 인자를 사용하여 리소스 수명이 만료된 후에도 해제되지 않아 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
웹소켓 통신 중에 시스템이 리소스를 제때 정리하지 못해 발생하는 문제입니다. 이로 인해 서버의 자원이 계속 쌓이게 되어 결국 서버가 멈추거나 응답하지 않을 수 있습니다.
🇺🇸 원문 (English)
Missing release of resource after effective lifetime, Comparison using wrong factors vulnerability in Apache Tomcat allows a denial of service as a result of lost time outs for asynchronous WebSocket writes.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.25, from 10.1.0-M1 through 10.1.59, from 9.0.0.M1 through 9.0.121.
The following versions were EOL at the time the CVE was created but are known to be affected: from 8.5.0 through 8.5.100, from 7.0.43 through 7.0.109. Other unsupported versions may also be affected.
Users are recommended to upgrade to version 11.0.26, 10.1.60 or 9.0.122, which fix the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M1~11.0.25, 10.1.0-M1~10.1.59, 9.0.0.M1~9.0.121, 8.5.0~8.5.100, 7.0.43~7.0.109
⚔️ 공격 벡터
비동기 WebSocket 쓰기 요청을 지속적으로 발생시켜 리소스 해제를 방해함으로써 서비스 거부(DoS) 유도
🛡️ 대응 방법
Apache Tomcat을 11.0.26, 10.1.60 또는 9.0.122 이상의 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 취약한 범위(예: 11.0.25 이하 등)에 해당하면 보안 패치가 필요한 상태입니다.
java -jar tomcat-version.jar | grep -E 'Apache Tomcat (11.0\.[0-9]{2}|10.1\.[0-9]{2}|9.0\.[0-9]{3})'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Apache 제품 보안 업데이트 권고
P4
📅 2026-09-30 · sec_notice
Apache Tomcat 제품에서 인증 우회 및 HTTP 요청 스머글링 등 다수의 보안 취약점이 발견되었습니다. 해당 제품의 특정 버전을 사용하는 사용자는 보안 위협 방지를 위해 반드시 최신 버전으로 업데이트해야 합니다.