Apache Tomcat 보안 업데이트 권고

개요

Apache Tomcat에서 발생하는 여러 취약점을 해결하는 보안 업데이트가 발표되었다. 해당 제품 사용자는 최신 버전으로 업데이트해야 한다.

영향 받는 제품 및 버전

• CVE-2026-80353: Apache Tomcat 9.0.47 이상 9.0.122 이하.
• CVE-2026-88041: Apache Tomcat 9.0.92 이상 9.0.122 이하, Apache Tomcat 10.1.27 이상 10.1.60 이하, Apache Tomcat 11.0.0-M23 이상 11.0.26 이하.
• CVE-2026-93446: Apache Tomcat 9.0.90 이상 9.0.122 이하, Apache Tomcat 10.1.25 이상 10.1.60 이하, Apache Tomcat 11.0.0-M21 이상 11.0.26 이하.
• CVE-2026-101296: Apache Tomcat 9.0.0.M1 이상 9.0.122 이하, Apache Tomcat 10.1.0-M1 이상 10.1.60 이하, Apache Tomcat 11.0.0-M1 이상 11.0.26 이하.
• CVE-2026-101356: Apache Tomcat 9.0.118 이상 9.0.122 이하, Apache Tomcat 10.1.55 이상 10.1.60 이하, Apache Tomcat 11.0.22 이상 11.0.26 이하.
• CVE-2026-103119: Apache Tomcat 11.0.0-M25 이상 11.0.26 이하.

해결된 취약점

• CVE-2026-80353: 검사 시점과 사용 시점 간의 경쟁 조건(TOCTOU, 동일한 자원 상태가 검사 후 바뀌는 문제) 취약점.
• CVE-2026-88041: 불완전한 정리(Incomplete Cleanup, 처리 후 남은 상태가 완전히 제거되지 않는 문제) 취약점.
• CVE-2026-93446: 불완전한 정리(Incomplete Cleanup) 취약점.
• CVE-2026-101296: 인증 과정의 중요 단계 누락 취약점.
• CVE-2026-101356: 경쟁 조건(Race Condition, 처리 순서에 따라 결과가 달라지는 문제) 취약점.
• CVE-2026-103119: 버퍼 언더리드(Buffer Under-read, 메모리의 앞부분을 잘못 읽는 문제) 취약점.

패치 버전

• CVE-2026-80353: Apache Tomcat 9.0.123.
• CVE-2026-88041, CVE-2026-93446, CVE-2026-101296, CVE-2026-101356: Apache Tomcat 9.0.123, 10.1.61, 11.0.27.
• CVE-2026-103119: Apache Tomcat 11.0.27.

참고

참고 사이트에는 각 CVE에 대한 세부 안내가 포함되어 있다.