| 취약점ID |
22090 |
| 위험도 |
20 |
| 포트 |
8080, ... |
| 프로토콜 |
TCP |
| 분류 |
Servlet |
| 상세설명 |
해당 Apache Tomcat 서버는 'TroubleShooter' 서블릿을 통한 정보노출 취약점을 가지고 있다.
Apache Tomcat은 Java Servlet과 JavaServer Pages 기술들을 위한 공식적인 레퍼런스 구현에 사용되고 있는 Servlet Container 로서 MS 윈도우즈 시스템와 함께 대부분의 유닉스, 리눅스 계열 시스템에서 동작한다. Tomcat 서버를 디폴트로 설치하는 경우, 다양한 예제 JSP 페이지와 서블릿들이 함께 설치되는 데 이러한 파일들은 설치 과정 중 자동으로 생성된 "examples" 디렉토리 밑에 위치하게 된다.
특히, 이러한 파일 중에서 'TroubleShooter' 서블릿은 Tomcat 설치 디렉토리 정보 및 시스템의 운영체제 정보와 같은 중요 정보들을 얻는 데 사용될 수 있다. 또한 이 서블릿은 cross-site 스크립트 공격 시도에도 이용될 수 있다.
* 이 취약점 점검 항목은 'Apache Tomcat TroubleShooter' 서블릿의 설치여부만을 테스트한다. |
| 해결책 |
임시 조치방법으로, "TOMCAT_HOME\webapps\examples\WEB-INF\classes" 디렉토리로부터 'TroubleShooter.class' 서블릿을 제거해야 한다. |
| 관련 URL |
CVE-2002-2006 (CVE) |
| 관련 URL |
4575 (SecurityFocus) |
| 관련 URL |
8932 (ISS) |
|
