[ISSUE] Tomcat 고스트캣 취약점 조치 (CVE-2020-1938)

톰캣의 고스트캣 관련 취약점은 이전에 발견된 취약점이지만

 

몇몇 구버전의 톰캣을 사용하는 사람들은 해당 취약점을 모르고 지나칠 수 있다.

 

해당 취약점은 AJP Protocol을 이용하여 서버 내부의 파일 확인이나 원격 코드를 통한 공격이 가능해 

취약 대상 버전의 톰캣 사용자는 조치를 해주는게 좋다.

 

취약 대상 버전은 아래와 같다.

 

Tomcat 6.x 모든 버전

Tomcat 7.0.1 미만 버전

Tomcat 8.5.51 미만 버전

Tomcat 9.0.31 미만 버전

 

그럼 해당 조치는 어떻게 진행할까?

 

크게 3가지로 진행가능하고, 제일 간단한건 

 

1. '최신 버전으로 설치'

최신 버전으로 설치하면 보안취약점에 대한 부분이 조치된 패치버전으로 릴리즈 되므로 최신 버전으로 받는게 가장 편하다.

 

하지만, 그렇지 못한 경우가 있기에 아래의 두가지 방법도 알아보자.

 

2. AJP Connector를 사용하지 않는 경우

AJP Connector를 사용하지 않는다면 해당 활성부분을 비활성화 해주면 된다.

비활성화를 위해서는 Tomcat/conf/server.xml을 열어 <Connector> 부분을 주석 처리 한다.

<!-- <Connector port="8009" protocol="AJP/1.3" redirectPort="8443" /> -->

주석 처리하고 저장한뒤 Tomcat을 재가동 시키면 비활성화된 채로 적용되어 진다.

 

3. AJP Connector를 사용하는 경우

AJP Connector를 사용하면 업그레이드가 젤 빠른 방법이긴 하지만 그렇지 못하다면 아래처럼 AJP Connector 부분에 추가 옵션을 달아주어 적용하자.

 

<Connector port = "8009"protocol = "AJP / 1.3"redirectPort = "8443" address = "YOUR_TOMCAT_IP_ADDRESS" secret = "YOUR_TOMCAT_AJP_SECRET"/>

address 부분에는 Tomcat이 설치된 IP를 입력한다.

secret 부분에는 AJP에 접근하는 일종의 비밀번호로 설정하면된다.