| 취약점ID |
22160 |
| 위험도 |
30 |
| 포트 |
8080 |
| 프로토콜 |
TCP |
| 분류 |
Servlet |
| 상세설명 |
해당 Apache Tomcat 서버는 Default Servlet을 통한 JSP 소스 노출 취약점을 가지고 있다.
Jakarta Tomcat은 JavaServer Pages (JSP) 와 Java servlet 들을 지원하는 Apache HTTP 서버들과 함께 사용되는 Java 어플리케이션 서버이다. Tomcat 4.0.4와 4.1.10 (또는 이하) 버전들은 Default Servlet인 org.apache.catalina.servlets.DefaultServlet을 사용한 소스코드 노출에 취약하다. 원격지의 공격자는 알려진 JSP 페이지들에 대한 보호장치를 우회할 수 있는 잘 조작된 URL 요청을 보내, 요청한 JSP 패이지의 소스코드를 얻어낼 수 있다. 이 소스코드에는 데이터베이스 패스워드와 파일명들이 포함되어 있을 수 있다.
예를들어, Tomcat 4.1.10 admin 어플리케이션인:
http://localhost:8080/admin/index.jsp
의 JSP 소스를 보기 위해서는 다음과 같이 할 수 있다:
http://localhost:8080/admin/servlet/org.apache.catalina.servlets.DefaultServlet/index.jsp
* 참고 사이트:
http://online.securityfocus.com/bid/5786
http://www.iss.net/security_center/static/10175.php
* 영향을 받는 플랫폼:
Tomcat 버전 4.0.4 이하
Tomcat 버전 4.1.10 이하
Windows 플랫폼
UNIX/Linux 플랫폼 |
| 해결책 |
다음 웹 사이트로부터 Apache Tomcat의 가장 최신 릴리즈를 구하여 업그레이드 하여야 한다:
http://tomcat.apache.org/ |
| 관련 URL |
CVE-2002-1148 (CVE) |
| 관련 URL |
(SecurityFocus) |
| 관련 URL |
(ISS) |
|
