기술 지원
문서
로그인
문의하기
이 블로그 글의 AI 요약으로 바로 가기 
Apache Tomcat은 널리 사용되는 오픈 소스 웹 서버 및 서블릿 컨테이너이지만 다른 소프트웨어와 마찬가지로 취약점으로부터 자유롭지 않습니다. Canonical은 Ubuntu 22.04 LTS, Ubuntu 20.04 LTS, Ubuntu 18.04 ESM, Ubuntu 16.04 ESM 등 여러 릴리스에 걸쳐 여러 Tomcat 취약점을 해결하기 위한 보안 업데이트를 릴리스했습니다. 이러한 취약점이 악용될 경우 서비스 거부, 임의 코드 실행, 민감한 정보 유출 등 심각한 결과를 초래할 수 있습니다.
이 도움말에서는 이러한 취약점에 대한 자세한 내용을 살펴보고 필수 보안 업데이트와 확장 지원을 통해 시스템을 보호하는 방법에 대한 지침을 제공합니다.
우분투에서 패치된 톰캣 취약점
9484 (CVSS3 심각도 점수: 7.0 높음)
Tomcat에서 흔하지 않은 특정 PersistenceManager를 FileStore 구성으로 잘못 처리하는 취약점이 발견되었습니다. 이 문제로 인해 원격 공격자가 임의의 코드를 실행할 수 있습니다. 이 문제는 Ubuntu 18.04에서 실행되는 Tomcat 8에만 영향을 미쳤습니다.
25122 (CVSS3 심각도 점수: 7.5 높음)
Tomcat의 특정 HTTP/2 연결 요청 처리에서 또 다른 취약점이 발견되었습니다. 원격 공격자는 이 결함을 악용하여 민감한 정보를 포함할 수 있는 잘못된 응답을 얻을 수 있습니다. 이 취약점은 Ubuntu 18.04 LTS의 Tomcat 8에도 영향을 미쳤습니다. HTTP/2 요청을 부적절하게 처리하면 정보 유출로 이어져 데이터 기밀성에 심각한 위험을 초래할 수 있습니다.
41079 (CVSS3 심각도 점수: 7.5 높음)
토마스 워제닐렉은 특정 TLS 패킷 처리와 관련된 Tomcat의 취약점을 발견했습니다. 이 문제로 인해 원격 공격자가 서비스 거부(DoS) 공격을 일으킬 수 있습니다. 이 취약점은 우분투 18.04의 Tomcat 8에만 해당됩니다. 서비스 거부 공격은 웹 서비스의 가용성을 방해하여 심각한 운영 문제를 일으킬 수 있습니다.
23181 (CVSS3 심각도 점수: 7.0 높음)
Trung Pham은 FileStore를 사용하여 세션 파일을 처리할 때 Tomcat에서 경합 상태(race condition)를 발견했습니다. 이 취약점을 악용하면 원격 공격자가 임의의 코드를 실행할 수 있습니다. 이 문제는 Ubuntu 16.04 및 18.04의 Tomcat 8과 Ubuntu 18.04 LTS 및 20.04 LTS의 Tomcat 9에 영향을 미쳤습니다. Ubuntu 16.04의 지원 종료 시점이 이미 지났기 때문에, 해당 시스템은 별도의 패치를 적용하지 않을 경우 특히 취약합니다.
29885 (CVSS3 심각도 점수: 7.5 높음)
신뢰할 수 없는 네트워크에서 가용성 보호 기능을 제공한다고 잘못 설명한 Tomcat의 문서에서 취약점이 발견되었습니다. 이 잘못된 정보로 인해 원격 공격자는 EncryptInterceptor가 사용 중일 때에도 서비스 거부를 일으킬 수 있었습니다. 이 문제는 우분투 18.04 LTS의 Tomcat 8과 우분투 18.04, 20.04 LTS 및 22.04 LTS의 Tomcat 9에 영향을 미쳤습니다.
우분투 시스템 보호
이러한 취약점과 관련된 위험을 고려할 때, Tomcat 설치에 최신 보안 패치가 적용되어 있는지 확인하는 것이 필수적입니다. Ubuntu 22.04 LTS 및 20.04 LTS와 같이 지원되는 Ubuntu 릴리스의 경우 표준 리포지토리를 통해 보안 업데이트를 사용할 수 있습니다. Ubuntu 20.04의 지원 종료는 2025년 4월로 예정되어 있으며, 그 이후에는 연장 지원 구독 없이는 더 이상 보안 업데이트가 제공되지 않는다는 점에 유의하세요. 이러한 업데이트를 정기적으로 적용하면 알려진 취약점으로 인한 위험을 완화하는 데 도움이 됩니다.
그러나 Ubuntu 18.04는 지원 종료(EOL)에 도달하여 더 이상 표준 보안 업데이트를 제공하지 않습니다. 이러한 버전을 실행 중인 경우 지원되는 릴리즈로 업그레이드하는 것을 고려해야 합니다. 또는 연장 지원 서비스를 선택할 수도 있습니다.
또한, 킵어스 취약점은 시스템 보안을 위해 모니터링해야 할 또 다른 주요 영역입니다. Tomcat과 마찬가지로 비밀번호 관리자를 업데이트하여 해당 애플리케이션의 취약점과 관련된 위험을 완화하는 것이 중요합니다.
TuxCare를 통한 수명 주기 연장 지원(ELS)
TuxCare는 Ubuntu 16.04 및 18.04에 대한 확장 수명 주기 지원(ELS)을 제공하며, 공식 지원 종료일 이후 최대 5년 동안 자동화된 보안 패치 서비스를 제공합니다. 이 서비스는 리눅스 커널, Tomcat, glibc, OpenSSL, Python, OpenJDK 등을 포함한 광범위한 패키지를 지원합니다. TuxCare의 ELS를 이용하면 시스템이 새롭게 등장하는 위협으로부터 지속적으로 보호되어, 표준 지원 기간이 종료된 후에도 안전한 컴퓨팅 환경을 유지할 수 있습니다.
결론
Apache Tomcat의 취약점은 웹 애플리케이션과 데이터에 심각한 위험을 초래할 수 있습니다. 이러한 취약점에 대한 최신 정보를 파악하고 보안 업데이트를 신속하게 적용함으로써, 잠재적인 공격으로부터 시스템을 보호할 수 있습니다. 지원 종료(EOL)된 Ubuntu 버전에서 실행되는 시스템의 경우, TuxCare의 ELS와 같은 확장 지원 옵션이 보안 및 규정 준수를 유지하는 데 유용한 해결책이 됩니다.
이 가이드에서 수명 종료 Linux 실행의 위험성에 대해 알아보세요.
Source: 1
