CVE-2024-56337

요약

Apache Tomcat의 TOCTOU(Time-of-check Time-of-use) 경쟁 조건(Race Condition) 취약점입니다. 이 문제는 Apache Tomcat 11.0.0-M1부터 11.0.1까지, 10.1.0-M1부터 10.1.33까지, 9.0.0.M1부터 9.0.97까지에 영향을 미칩니다. CVE 생성 당시 EOL(End of Life)이었지만 영향을 받는 것으로 알려진 버전은 8.5.0부터 8.5.100까지입니다. 그 외의 더 오래된 EOL 버전도 영향을 받을 수 있습니다. CVE-2024-50379에 대한 완화 조치는 불완전했습니다. 대소문자를 구분하지 않는 파일 시스템에서 기본 서블릿의 쓰기가 활성화된 상태(readonly 초기화 파라미터가 기본값이 아닌 false로 설정된 상태)로 Tomcat을 실행하는 사용자는, Tomcat과 함께 사용하는 Java 버전에 따라 CVE-2024-50379를 완전히 완화하기 위해 추가 구성이 필요할 수 있습니다: - Java 8 또는 Java 11에서 실행하는 경우: 시스템 속성 sun.io.useCanonCaches를 명시적으로 false로 설정해야 합니다(기본값은 true). - Java 17에서 실행하는 경우: 시스템 속성 sun.io.useCanonCaches는 설정된 경우 false로 설정해야 합니다(기본값은 false). - Java 21 이상에서 실행하는 경우: 추가 구성이 필요하지 않습니다(시스템 속성과 문제가 되는 캐시가 제거되었습니다). Tomcat 11.0.3, 10.1.35 및 9.0.99부터는 대소문자를 구분하지 않는 파일 시스템에서 기본 서블릿의 쓰기를 활성화하기 전에 sun.io.useCanonCaches가 적절하게 설정되었는지 확인하는 검사를 포함합니다. Tomcat은 또한 가능한 경우 sun.io.useCanonCaches를 기본적으로 false로 설정합니다.

• CVE-2024-50379익스플로잇

  tomcat CVE-2024-50379/CVE-2024-56337 경쟁 조건 파일 업로드 exp