[2018.11.01] 아파치 톰캣 JK (mod_jk) 커넥터 경로 조작(CVE-2018-11759 )

Apache Tomcat JK (mod_jk) Connector path traversal

<취약점>

URI-worker 맵과 일치시키기 전에 요청된 경로를 정규화하는 Apache Web Server (httpd) 특정 코드 일부에 취약점 존재.

톰캣이 지원하는 URL의 하위 집합이 httpd를 통해 공개 된 경우, 클라이언트가 역방향 프록시를 통해 어플리케이션에 액세스하지 못하도록 

특수하게 구성한 요청이 역방향 프록시을 통해 어플리케이션 기능을 노출할 수 있음 

또한 일부 환경 설정으로 httpd에서 액세스 제어를 우회하는 것이 가능함. 이 취약점은 CVE-2018-1323과 중복된 부분이있지만, 동일한 것은 아님

<관련 CVE코드>

CVE-2018-11759 

심각도: Important

cf) CVE-2018-1323: 아파치 톰캣 JK 커넥터 경로조작(https://nvd.nist.gov/vuln/detail/CVE-2018-1323)

<영향받는 제품>

Apache Tomcat JK mod_jk Connector 1.2.0 ~ 1.2.44

<대응방안>

Apache Tomcat JK ISAPI Connector 1.2.46 혹은 이후 버전으로 업그레이드

혹은 신뢰하는 사용자에게만 접근을 제한하는 대처 수단 사용(예, 원격 주소 필터) 

출처: http://mail-archives.us.apache.org/mod_mbox/www-announce/201810.mbox/%3c16a616e5-5245-f26a-a5a4-752b2826703@apache.org%3e

  http://tomcat.apache.org/security-jk.html