아파치 톰캣용 ELS: EOL을 넘어 보안 지원 확장

이 블로그 글의 AI 요약으로 바로 가기

소개

웹 애플리케이션은 수많은 비즈니스 운영의 근간을 이루고 있습니다. 이러한 중요한 애플리케이션의 기반에는 전 세계적으로 엔터프라이즈 애플리케이션을 구동하는 가장 널리 배포된 Java 서블릿 컨테이너 중 하나인 Apache Tomcat이 있습니다. 하지만 안정적이고 충분한 테스트를 거친 Tomcat 환경이 수명 종료(EOL) 날짜에 도달하면 어떻게 될까요? 잠재적으로 복잡한 업그레이드로 인한 운영 중단의 위험을 감수하시겠습니까, 아니면 지원되지 않는 소프트웨어 실행으로 인해 증가하는 보안 위험을 감수하시겠습니까?

발표하게 되어 기쁩니다. TuxCare의 Apache Tomcat용 Endless Lifecycle Support(ELS)를 소개합니다. - 는 조직이 강제 업그레이드의 위험과 문제 없이 공식 지원 종료일 이후에도 Apache Tomcat 8.5 환경을 안전하게 유지할 수 있는 포괄적인 보안 유지 관리 서비스입니다.

아파치 톰캣의 중요한 역할 이해하기

Apache Tomcat은 자바 서블릿, 자바 서버 페이지, 자바 표현 언어, 웹소켓 기술을 구현하는 역할을 하며, 많은 자바 기반 웹 애플리케이션 아키텍처의 중요한 부분을 구성합니다. 서블릿 컨테이너인 Tomcat은 웹 요청에 대한 응답으로 Java 코드가 실행되는 환경을 제공하며, 연결 관리부터 요청 처리까지 모든 것을 처리합니다.

Java 에코시스템에서 Tomcat은 다음과 원활하게 통합됩니다:

Java 엔터프라이즈 에디션(Java EE) 애플리케이션
스프링 프레임워크 배포
Java 기반 마이크로서비스 아키텍처
레거시 엔터프라이즈 애플리케이션 중요한 비즈니스 기능을 지원하는 기존 엔터프라이즈 애플리케이션
데브옵스 파이프라인 일관된 애플리케이션 동작이 가장 중요한 경우
AngularJS와같은 프런트엔드 기술에 안정적인 서버 측 지원이 필요한 풀스택 애플리케이션

많은 조직에서 Tomcat 8.5는 프로덕션 시스템이 매일 사용하는 기능, 성능, 안정성이 완벽하게 균형을 이루고 있습니다.

업그레이드 딜레마

EOL에 직면했을 때 Tomcat 9.x 또는 10.x와 같은 최신 버전으로 업그레이드하는 것이 당연한 선택처럼 보일 수 있지만, 현실은 훨씬 더 복잡합니다. 연구와 고객 피드백에 따르면, Tomcat 8.5에서 업그레이드하는 데는 여러 가지 어려움이 있습니다:

구성 변경 중단 수동 검토 및 조정이 필요한 경우
API 변경 및 사용 중단 기존 애플리케이션을 손상시킬 수 있는
Jakarta EE로의 중요한 전환 (특히 Tomcat 10.x에서) 코드 리팩터링이 필요한 경우
타사 라이브러리 호환성 문제 최신 Tomcat 버전과의 호환성 문제
Java 버전 요구 사항 계단식 업그레이드를 강제할 수 있습니다.
광범위한 테스트 및 검증 요구 사항
잠재적 다운타임 마이그레이션 중
사용자 정의 모듈 및 플러그인 비호환성

이러한 요인으로 인해 업그레이드는 상당한 비즈니스 리스크를 수반하는 리소스 집약적인 프로젝트가 됩니다. 많은 조직, 특히 안정적이고 미션 크리티컬한 애플리케이션을 사용하는 조직에서는 지속적인 보안 취약성이라는 중대한 문제를 제외하고는 "고장나지 않았다면 고치지 않는다"는 접근 방식이 여전히 신중한 접근 방식입니다.

아파치 톰캣용 ELS 소개

TuxCare의 아파치 톰캣용 ELS는 공식 지원 종료일 이후에도 톰캣 8.5 환경에 대한 지속적인 보안 유지 관리를 제공함으로써 이러한 문제를 해결합니다. 저희 서비스가 제공합니다:

보안 패치가 적용된 Tomcat 패키지
새로운 CVE에 대한 보호 EOL 이후 발견
백포트된 수정 사항 최신 톰캣 버전에서
맞춤형 보안 패치 TuxCare의 보안 팀이 개발한 맞춤형 보안 패치
업무 중단 최소화 애플리케이션을 변경할 필요 없음
정기적인 보안 업데이트 보안 상태를 유지하는 정기 보안 업데이트

포괄적인 커버리지

당사의 아파치 톰캣용 ELS는 가장 중요한 핵심 구성 요소를 다룹니다:

카탈리나 - Java 서블릿 및 JSP 페이지를 처리하는 서블릿 컨테이너
Coyote - 들어오는 연결을 처리하는 HTTP 커넥터
Jasper - JSP를 Java 서브렛으로 컴파일하는 JSP 엔진
클러스터 - 여러 Tomcat 인스턴스에서 세션 복제를 가능하게 하는 구성 요소

또한 고객의 요구에 따라 추가 구성 요소도 검토하고 있습니다:

APR(아파치 포터블 런타임) 네이티브 라이브러리
웹 애플리케이션 (예: 관리자, 호스트 관리자)
기타 프로토콜용 커넥터 (AJP 등)

이러한 구성 요소가 사용자 환경에서 중요합니까? 개발 로드맵의 우선순위를 정하기 위해 여러분의 의견을 듣고 싶습니다. 여기로 문의하세요.

진정한 보안 보호: 최근 발생한 CVE

Apache Tomcat용 ELS의 실제 가치를 설명하기 위해, 저희 서비스가 즉시 보호하는 몇 가지 중요한 취약점을 소개합니다:

카탈리나(서블릿 컨테이너)

CVE-2016-0763: 영향을 받는 Tomcat 8.5.0-8.5.3 - 잘못 구성된 JSP 서블릿 매개 변수를 통한 보안 우회 취약점
CVE-2016-8735: 영향을 받는 Tomcat 8.5.0-8.5.6 - HTTP PUT을 통한 악의적인 JSP 업로드 허용
CVE-2017-12617: 영향을 받는 윈도우의 톰캣 8.5.0-8.5.23 - 원격 코드 실행 취약점

코요테(HTTP 커넥터)

CVE-2020-13943: 영향을 받는 Tomcat 8.5.0-8.5.58 - 잘못된 응답을 유발하는 HTTP/2 처리 취약점
CVE-2022-42252: 영향을 받는 Tomcat 8.5.0-8.5.83 - 요청 스밍 취약점

재스퍼(JSP 엔진)

CVE-2018-1336: 영향을 받는 Tomcat 8.5.0-8.5.31 - 잠재적인 DoS로 이어지는 UTF-8 디코딩 취약성
CVE-2018-8034: 영향을 받는 8.5.0-8.5.31 - 역직렬화 취약성

AJP 커넥터

CVE-2020-1938 "고스트캣": 영향을 받는 Tomcat 8.5.0-8.5.50 - 파일 노출 및 잠재적 RCE를 허용하는 가장 심각한 취약점 중 하나

HTTP/2 지원

CVE-2020-11996: 영향을 받는 Tomcat 8.5.17-8.5.55 - 특수하게 조작된 HTTP/2 요청을 통한 DoS 취약성

또한 당사의 포괄적인 개요를 통해 Apache Tomcat 취약점을 탐지하고 해결하는 방법을 살펴보실 수 있습니다.

ELS가 비즈니스에 합리적일 때

Apache Tomcat용 ELS 서비스는 특히 다음과 같은 조직에 유용합니다:

중요한 애플리케이션 실행 안정적이고 충분한 테스트를 거친 Tomcat 8.5에서 중요한 애플리케이션 실행
상당한 비용 또는 위험에 직면 비용 및 위험 발생
보안 규정 준수를 유지해야 하는 경우 주요 업그레이드를 연기하면서
복잡한 애플리케이션 아키텍처가 있는 경우 톰캣이 긴밀하게 통합된 경우
규제 산업에서 운영 엄격한 변경 관리 요구 사항이 있는 규제 산업에서 운영
레거시 애플리케이션 유지 관리 제한된 개발 리소스로

구현 및 배포

Apache Tomcat용 ELS를 구현하는 것은 간단합니다:

서비스 구독 환경 규모에 따라
기존 Tomcat 패키지를 보안이 유지되는 버전으로 교체
보안 업데이트 받기 표준 리포지토리를 통해
업데이트 배포 기존 패치 관리 프로세스 사용

애플리케이션 변경, 재컴파일 또는 광범위한 테스트가 필요 없으며, 기존 환경과의 완벽한 호환성을 유지하면서 보안 취약점에만 초점을 맞춘 패치를 제공합니다.

타협 없는 보안

TuxCare의 아파치 톰캣용 ELS를 사용하면 가능합니다:

보안 규정 준수 유지 중단 없는 업그레이드
비즈니스 위험 감소 잠재적인 변경을 방지하여 비즈니스 위험 감소
안정적인 미션 크리티컬 애플리케이션의 수명 안정적인 미션 크리티컬 애플리케이션의 수명 연장
적절한 계획을 위한 시간 확보 적절한 마이그레이션 계획
IT 리소스 최적화 강제 업데이트가 아닌 비즈니스 가치에 집중하여 IT 리소스 최적화

보안과 안정성이 서로 상충할 필요는 없습니다. Apache Tomcat용 ELS를 사용하면 이 두 가지를 모두 유지할 수 있으므로 업그레이드 일정을 제어하면서 애플리케이션을 새로운 위협으로부터 보호할 수 있습니다. Java 기반 인프라를 실행하는 조직의 경우, 상호 연결된 구성 요소를 보호하면 전체 애플리케이션 생태계를 강화하는 데 도움이 되므로 HTTP 서버의 Apache 취약성을 해결하거나 Apache Kafka Security를 적용하는 등 보다 광범위한 관행을 고려하는 것도 중요합니다 .

EOL 이후의 Tomcat 환경 보안에 대해 자세히 알아볼 준비가 되셨나요? 지금 바로 저희 팀에 문의하세요. 에 문의하여 상담을 받고 Apache Tomcat용 ELS가 보안 및 비즈니스 연속성 요구 사항을 어떻게 지원할 수 있는지 알아보세요.

요약