CVE-2020-9484 Apache Tomcat 취약점 확인 및 조치방법

현재 공개된 근거로 먼저 확인할 범위

When using Apache Tomcat versions 10.0.0-M1 to 10.0.0-M4, 9.0.0.M1 to 9.0.34, 8.5.0 to 8.5.54 and 7.0.0 to 7.0.103 if a) an attacker is able to control the contents and name of a file on the server; and b) the server is configured to use the PersistenceManager with a FileStore; and c) the PersistenceManager is configured with sessionAttributeValueClassNameFilter="null" (the default unless a SecurityManager is used) or a sufficiently lax filter to allow the attacker provided object to be deserialized; and d) the attacker knows the relative file path from the storage location used by FileStor...

확인된 영향 범위

n/a Apache Tomcat, debian linux · 영향 버전: n/a Apache Tomcat, debian linux >= Apache Tomcat 10.0.0-M1 to 10.0.0-M4, 9.0.0.M1 to 9.0.34, 8.5.0 to 8.5.54, 7.0.0 to 7.0.103, >= 7.0.0 < 7.0.108, >= 8.5.0 < 8.5.63, >= 9.0.1 < 9.0.43, 9.0.0, 10.0.0, 8.0, 9.0, 10.0, 15.1, 31, 32, 16.04, 20.04, 6.2.1.0, 9.3.3, 9.3.5, 9.3.6, 1.10.0, 1.14.0

우선 확인

Apache Tomcat 공식 보안 안내에 별도 Workaround가 있은 경우에만 임시완화로 표시합니다.

자산 점검 순서

제품명·설치 버전을 식별하고, 관리 화면·API·서비스 포트의 외부 노출 여부와 최근 비정상 접근 로그를 함께 확인합니다.

변경 전 확인

아래 공식자료에서 해당 제품군의 수정 버전과 지원되는 업데이트 경로를 확인한 뒤, 백업·복구 계획과 서비스 영향 범위를 검토합니다.