🇰🇷 한글 설명
Apache Tomcat에서 HTTP/2 요청 해석의 불일치로 인해 발생하는 HTTP 요청/응답 스머글링 취약점입니다. 이는 이전 취약점(CVE-2026-41293) 수정 과정에서의 회귀 오류로 인해 발생하며, 요청 헤더가 뒤섞이는 문제를 일으킬 수 있습니다.
💡 쉬운 설명
웹 서버가 전달받은 요청을 잘못 해석하여 다른 사용자의 요청과 섞어버리는 보안 결함입니다. 이를 통해 공격자가 다른 사용자의 정보를 가로채거나 조작할 위험이 있습니다.
🇺🇸 원문 (English)
Inconsistent interpretation of HTTP/2 requests ('HTTP Request/Response smuggling') vulnerability in Apache Tomcat caused by a regression in fix for CVE-2026-41293 can trigger request header mix-up.
This issue affects Apache Tomcat: from 11.0.22 through 11.0.25, from 10.1.55 through 10.1.59, from 9.0.118 through 9.0.121.
Users are recommended to upgrade to version 11.0.26, 10.1.60 or 9.0.122, which fix the issue.
📍 영향받는 시스템
Apache Tomcat 11.0.22-11.0.25, 10.1.55-10.1.59, 9.0.118-9.0.121
⚔️ 공격 벡터
HTTP/2 프로토콜의 요청 해석 차이를 이용한 HTTP Request/Response Smuggling 공격
🛡️ 대응 방법
Apache Tomcat을 11.0.26, 10.1.60 또는 9.0.122 이상의 최신 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 취약한 버전 범위(11.0.22-25, 10.1.55-59, 9.0.118-121)에 포함되는지 확인하십시오.
echo $CATALINA_HOME/bin/version.sh | xargs -I {} sh {} | grep 'Apache Tomcat version'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Apache 제품 보안 업데이트 권고
P4
📅 2026-09-30 · sec_notice
Apache Tomcat 제품에서 인증 우회 및 HTTP 요청 스머글링 등 다수의 보안 취약점이 발견되었습니다. 해당 제품의 특정 버전을 사용하는 사용자는 보안 위협 방지를 위해 반드시 최신 버전으로 업데이트해야 합니다.