🇰🇷 한글 설명
Apache Tomcat의 APR/Native 커넥터가 Unix 도메인 소켓을 생성할 때 발생하는 TOCTOU(Time-of-check time-of-use) 레이스 컨디션 취약점입니다. 이로 인해 권한이 없는 로컬 사용자가 Unix 도메인 소켓에 접근할 수 있습니다. 기존 CVE-2026-65183 수정 사항이 NIO 커넥터에만 적용되어 APR/Native 커넥터의 동일한 문제가 남게 되었습니다.
💡 쉬운 설명
서버가 통신 통로를 만드는 짧은 순간을 이용해, 허가받지 않은 사용자가 몰래 통로에 접근할 수 있는 보안 허점입니다. 마치 문을 잠그기 직전의 찰나를 이용해 몰래 들어오는 것과 같습니다.
🇺🇸 원문 (English)
Time-of-check time-of-use (TOCTOU) race condition vulnerability in Apache Tomcat when creating unix domain sockets for the APR/Native connector allows an unauthorised local user to access the unix domain socket. The fix for CVE-2026-65183 only addressed the NIO connector. It did not address the same issue in the APR/Native connector.
This issue affects Apache Tomcat: from 9.0.47 through 9.0.122.
Users are recommended to upgrade to version 9.0.123, which fixes the issue.
📍 영향받는 시스템
Apache Tomcat 9.0.47 ~ 9.0.122
⚔️ 공격 벡터
로컬 권한을 가진 사용자가 레이스 컨디션 공격을 통해 Unix 도메인 소켓에 접근
🛡️ 대응 방법
Apache Tomcat을 9.0.123 버전 이상으로 업그레이드
🔧 검증 코드
출력된 버전 번호가 9.0.123 미만이면 취약한 상태입니다.
java -cp /path/to/tomcat/lib/catalina.jar org.apache.catalina.util.ServerInfo | grep 'Apache Tomcat/9.0.'