Уязвимост в Apache Tomcat, позволяваща да се вмъкне JSP код и да се получат файлове от уеб приложенията

Изследователи от китайската компания Chaitin Tech откриха уязвимост (CVE-2020-1938) в Apache Tomcat, отворена реализация на технологии Java Servlet, JavaServer Pages, Java Expression Language и Java WebSocket. Уязвимостта е наречена Ghostcat и е с критичен уровень на опасност (9.8 CVSS). Проблемът позволява в конфигурация по подразбиране чрез изпращане на заявка към мрежовия порт 8009 да се прочетат съдържанието на произволни файлове от каталога на уеб приложението, включително файлове с настройки и оригиналните текстове на приложението.

Уязвимостта също така дава възможност за импортиране на други файлове в кода на приложението, което позволява извършването на код на сървъра, ако приложението допуска качване на файлове (например, атакуващият може да качи JSP скрипт под формата на изображение чрез формуляр за качване). Атаката може да бъде извършена при възможност за изпращане на заявка към мрежовия порт с AJP обработчик. По предварителни данни, в мрежата са намерени има над 1.2 милиона хостове, които приемат заявки по протокола AJP.

Уязвимостта е налична в протокола AJP, а не е предизвикана от грешка в реализацията. В допълнение към приема на съединения по HTTP (порт 8080) в Apache Tomcat по подразбиране е разрешен достъпът до уеб приложението чрез протокола AJP (Apache Jserv Protocol, порт 8009), който представлява оптимизиран по отношение на производителността бинарен аналог на HTTP, обикновено използван при създаването на клъстери от Tomcat сървъри или за ускоряване на взаимодействието с Tomcat на обратно прокси или балансировчик на натоварването.

AJP предоставя стандартна функция за достъп до файлове на сървера, която може да се използва и за получаване на файлове, които не трябва да бъдат разкривани. Предполага се, че достъпът до AJP е отворен само за доверени сървъри, но всъщност в конфигурация по подразбиране Tomcat стартира обработчика на всички мрежови интерфейси, а заявките се приемаха без удостоверяване. Достъпът до всякакви файлове на уеб приложението, включително съдържанието на WEB-INF, META-INF и всякакви други каталози, е възможен чрез извикване на ServletContext.getResourceAsStream(). AJP също позволява всякакъв файл в наличните каталози на уеб приложението да бъде използван като JSP скрипт.

Проблемата се проявява от версията Tomcat 6.x, издадена преди 13 години. Освен самия Tomcat, проблемът засяга накратко засяга и продуктите, които го използват, като Red Hat JBoss Web Server (JWS), JBoss Enterprise Application Platform (EAP), както и самостоятелните уеб приложения, използващи Spring Boot. Аналогична уязвимост (CVE-2020-1745) присъства в уеб сървъра Undertow, използван в приложния сървър Wildfly. В JBoss и Wildfly протоколът AJP по подразбиране е включен само в профилите standalone-full-ha.xml, standalone-ha.xml и ha/full-ha в domain.xml. В Spring Boot поддръжката на AJP е изключена по подразбиране. В момента различни групи са подготвили повече от десет работещи примера на експлойти (
1,
2,
3,
4,
5,
6,
7,
8,
9,
10,
11).

Уязвимостта е отстранена в версиите на Tomcat 9.0.31, 8.5.51 и 7.0.100 (поддръжката на версия 6.x е спряно). Можете да проследите появата на актуализацията в дистрибутивите на тези страници: Debian, Ubuntu, RHEL, Fedora, SUSE, FreeBSD. Като заобиколно решение за защита, можете да деактивирате услугата Tomcat AJP Connector (чрез свързване на слушащия сокет с localhost или закоментиране на реда с Connector port = "8009"), ако е ненужна, или да настроите автентифициран достъп, използвайки атрибутите "secret" и "address", ако услугата се използва за взаимодействие с други сървъри и проксита, базирани на mod_jk и mod_proxy_ajp (mod_cluster не поддържа автентикация).

Източник: opennet.ru