CVE-2025-36701 — Apache Tomcat - 재작성 규칙 우회

발견자: gregk4sec (https://github.com/gregk4sec/cve)
발견일: 2025-02-28
영향을 받는 공급업체: Apache
영향을 받는 제품: Tomcat 9.0.x / 10.1.x / 11.0.x
심각도: Critical / High
CWE: CWE-116
상태: 검토 중 / 수정됨 / 공개 ✅ / 비공개

요약

일부 가능성이 낮은 재작성 규칙 구성에서 특수하게 조작된 요청이 특정 재작성 규칙을 우회할 수 있었습니다. 해당 재작성 규칙이 보안 제약 조건을 효과적으로 강제하는 경우, 해당 제약 조건이 우회될 수 있었습니다.

기술 분석

참조: analysis.md

재현 단계

1. 환경 설정
2. 트리거 조건
3. 예상 동작과 실제 동작
4. 스크린샷 (선택사항)

개념 증명 (PoC)

PoC 파일은 다음 위치에 있습니다:

./poc/

참고: 일부 PoC 콘텐츠는 공개 요구 사항에 따라 수정되거나 나중에 게시될 수 있습니다.

공개 타임라인

참조: timeline.md

공급업체 응답

참조: ./vendor-response/

참조

• CVE 항목: https://nvd.nist.gov/vuln/detail/cve-2025-31651
• 공급업체 권고: https://lists.apache.org/[email protected]:2025-4
• 보안 게시판:
• 관련 연구:

귀속

이 취약점은 gregk4sec (https://github.com/gregk4sec/cve)의 원본 발견입니다.
저장소: https://github.com/gregk4sec/cve