열린마당
3월 2일
ⓒ데일리시큐, 장성협 기자 l shjang@dailysecu.com
중국 보안기업 차이틴 테크(Chaitin Tech)는 아파치 톰캣(Apache Tomcat) AJP 프로토콜에 GhostCat 취약점이 발견됐다고 밝혔다.
AJP는 Apache JServ 프로토콜의 약자로 바이너리 포맷에서 HTTP 프로토콜의 성능 최적화 버전이다. 톰캣은 AJP를 아파치 HTTPD 웹서버나 다른 톰캣 인스턴스와 데이터를 교환하기 위해 사용한다. 톰캣의 AJP 커넥터는 기본적으로 활성화되어 있고, 8009 포트로 열려있다.
차이틴의 연구원들은 AJP의 버그를 이용해 톰캣 서버에 파일을 읽거나 쓰는 공격을 할 수 있다고 말한다. 예를 들어 해커는 앱 설정 파일을 읽고, 패스워드나 API 토큰을 빼낼 수 있으며 서버에 백도어나 웹 쉘같은 파일을 쓸 수 있다(Ghostcat 쓰기 공격은 톰캣 서버에서 사용자에게 파일 업로드가 허용될 때 가능하다)
(후략)
[원문출처 : https://www.dailysecu.com/news/articleView.html?idxno=106713]
| 번호 | 제목 | 조회수 | 작성 |
|---|---|---|---|
| 공지 | [Open UP 활용가이드] 공개SW 활용 및 개발, 창업, 교육 "Open UP을 활용하세요" | 292117 | 2020-10-27 |
| 공지 | [Open UP 소개] 공개SW 개발·공유·활용 원스톱 지원 Open UP이 함께합니다 | 282987 | 2020-10-27 |
| 8830 | 아파치 톰캣 AJP 프로토콜에 '고스트캣(GhostCat)' 취약점 발견돼 | 5381 | 2020-03-03 |
| 8829 | 깃허브에서 1만 스타 받은 한국의 오픈소스들 | 4643 | 2020-03-03 |
| 8828 | NHN ‘토스트 UI’, 깃허브 1만 스타 달성…글로벌 오픈소스로 ‘우뚝’ | 4351 | 2020-03-02 |
| 8827 | MS, 클라우드 연동 보안 IoT 플랫폼 ‘애저 스피어’ 공개 | 4641 | 2020-02-28 |
| 8826 | 구글, 투명물체 파지 머신러닝 기술 개발 | 4005 | 2020-02-28 |
| 8825 | 구글, 세 가지 고위험군 취약점 해결한 새 크롬 버전 발표 | 4516 | 2020-02-28 |
| 8824 | 윈드리버, 지능형 에지 혁신 위한 개발자 지원 사이트 개설 | 4239 | 2020-02-28 |
| 8823 | ‘AI 인재 키운다', 오픈소스 활용한 딥러닝 프로그래밍 교육 시행 | 4132 | 2020-02-28 |
| 8822 | IBM “오픈소스로 기후 변화에 대응하자” | 4024 | 2020-02-28 |
| 8821 | 머신러닝으로 영역 확장 노리는 '스위프트' 언어 | 4109 | 2020-02-20 |
0개 댓글