Apache Tomcat 2가지 보안 취약점 공개, 보안 패치 권고

📰 개요

2025년 10월 27일, Apache Software Foundation은 Tomcat의 CVE-2025-55752와 CVE-2025-55754를 공개했다. CVE-2025-55752는 Rewrite Valve 구성에서 보호 디렉터리 접근을 우회하게 만드는 회귀 이슈로 환경에 따라 원격 코드 실행(RCE)으로 확대될 수 있으며, CVE-2025-55754는 조작된 URL을 사용하여 ANSI 이스케이프 시퀀스를 삽입하여 콘솔과 클립보드를 조작하고 관리자를 속여 공격자가 제어하는 문제다. 이러한 문제는 각각 회귀(regression) 이슈와 이스케이프되지 않은 시퀀스 처리 미흡에서 비롯된 것으로 서버가 무단 액세스 및 제어에 노출될 수 있다. 따라서 엔터프라이즈 환경에서는 즉각적인 패치 적용을 권고한다.

🚫 취약점 상세정보 (CVE-2025-55752)

취약점	CVE-2025-55752
취약점 공개일	2025년 10월 27일
취약점 점수(CVSS)	7.5 (High)
설명	Rewrite Valve 사용 환경에서 정규화가 디코딩보다 먼저 수행되는 회귀(regression)로, 쿼리 파라미터를 URL로 재작성하는 규칙에서 /WEB-INF/, /META-INF/등 보호 경로 우회가 가능

PUT 허용 시 악성 파일 업로드를 통해 RCE로 확대 가능 | | 취약점 영향 버전 | Tomcat 11.0.0-M1~11.0.10, 10.1.0-M1~10.1.44, 9.0.0-M11~9.0.108 (EOL 8.5.6~8.5.100도 영향) | | 악용 가능성 | * 특정 환경에서 악용 가능성이 존재합니다.
- 권한없는 사용자에 대해 HTTP PUT 요청이 활성화된 조건 해당 조건이 충족되면, 파일 업로드를 통해 권한 상승 및 RCE 원격 코드 실행에 대한 추가적인 악성행위 가능성이 존재 | | 악용 사례 | X (공식상 공격 사례 미확인) |

🚫 취약점 상세정보 (CVE-2025-55754)

취약점	CVE-2025-55754
취약점 공개일	2025년 10월 27일
취약점 점수(CVSS)	9.6 (Critical)
설명	조작된 URL을 사용하여 ANSI 이스케이프 시퀀스를 삽입
이후, 콘솔과 클립보드를 조작하고, 관리자를 속여 공격자가 제어하는 명령어를 실행하도록 시도 가능
취약점 영향 버전	Tomcat 11.0.0-M1~11.0.10, 10.1.0-M1~10.1.44, 9.0.40~9.0.108
(EOL 8.5.60~8.5.100도 영향)
악용 가능성	* 특정 환경에서 악용 가능성이 존재합니다.

ANSI 이스케이프 시퀀스를 지원하는 콘솔이 있는 Windows 운영체제
관리자가 손상된 콘솔을 보고 상호작용을 진행하는 경우 해당 조건이 충족되면, 공격자는 콘솔 출력을 조작, 클립보드 내용을 변경하여 관리자를 속여서 임의의 명령을 실행하도록 하여 무단 시스템 액세스 또는 데이터 손상등의 형태로 공격이 진행될 수 있습니다. | | 악용 사례 | X (공식상 공격 사례 미확인) |

⚒️ 취약점 완화 조치

즉시 패치 버전(11.0.11, 10.1.45 / 9.0.109 이상)으로 업그레이드를 진행해야한다. 업그레이드가 불가능 시 구성 측면에서 Rewrite Valve 규칙을 재검토하고 HTTP PUT을 비활성화하여 우회, 업로드 경로를 원천 차단해야한다. 또한 Windows 콘솔 사용 환경에서는 로그의 ANSI 이스케이프 필터링 적용 여부와 콘솔, 클립보드 동작을 점검해야한다.

🔗 참고링크

📎 https://www.cve.org/CVERecord?id=CVE-2025-55752

📎https://nvd.nist.gov/vuln/detail/CVE-2025-55752

📎 https://nvd.nist.gov/vuln/detail/CVE-2025-55754

📎 https://cybersecuritynews.com/apache-tomcat-security-vulnerabilities/