🇰🇷 한글 설명
Apache Tomcat에서 soft fail 설정이 비활성화된 경우, 특정 시나리오에서 CLIENT_CERT 인증이 예상대로 실패하지 않는 취약점이 발견되었습니다. 이로 인해 인증 과정을 우회할 수 있는 위험이 존재합니다.
💡 쉬운 설명
인증서 확인 과정에서 오류가 발생했을 때 시스템이 이를 제대로 차단하지 못하는 문제입니다. 결과적으로 인증되지 않은 사용자가 서버에 접근할 수 있는 보안 구멍이 생길 수 있습니다.
🇺🇸 원문 (English)
CLIENT_CERT authentication does not fail as expected for some scenarios when soft fail is disabled vulnerability in Apache Tomcat.
This issue affects Apache Tomcat: from 11.0.0-M14 through 11.0.25, from 10.1.22 through 10.1.59, from 9.0.92 through 9.0.121.
Users are recommended to upgrade to version 11.0.26, 10.1.60 or 9.0.122, which fix the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.0-M14 ~ 11.0.25, 10.1.22 ~ 10.1.59, 9.0.92 ~ 9.0.121
⚔️ 공격 벡터
인증서 검증 실패를 유도하여 인증 절차를 우회하는 방식의 공격
🛡️ 대응 방법
Apache Tomcat을 11.0.26, 10.1.60 또는 9.0.122 이상의 최신 버전으로 업그레이드하십시오.
🔧 검증 코드
실행 중인 Tomcat의 버전을 확인하여 취약한 버전 범위에 포함되는지 대조하십시오.
java -jar tomcat-version-check.jar || echo 'Please check your Tomcat version manually via bin/version.sh'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Apache 제품 보안 업데이트 권고
P4
📅 2026-09-30 · sec_notice
Apache Tomcat 제품에서 인증 우회 및 HTTP 요청 스머글링 등 다수의 보안 취약점이 발견되었습니다. 해당 제품의 특정 버전을 사용하는 사용자는 보안 위협 방지를 위해 반드시 최신 버전으로 업데이트해야 합니다.