Уязвимост в Apache Tomcat, която позволява подмяна на JSP код и достъп до файлове на уеб приложенията

Изследователи от китайската компания Chaitin Tech установиха уязвимост (CVE-2020-1938) в Apache Tomcat, отворена реализация на технологии за Java Servlet, JavaServer Pages, Java Expression Language и Java WebSocket. Уязвимостта е получила кодово име Ghostcat и критичен ниво на опасност (9.8 CVSS). Проблемът позволява в конфигурация по подразбиране чрез изпращане на заявка на мрежовия порт 8009 да се прочетат съдържанието на всякакви файлове от директорията на уеб приложението, включително файлове с настройки и изходен код на приложението.

Уязвимостта също така позволява импортиране на други файлове в кода на приложението, което дава възможност за изпълнение на код на сървера, ако приложението допуска качване на файлове на сървера (например, нападателят може да качи JSP скрипт под формата на картинка чрез формата за качване на изображения). Атаката може да бъде извършена при възможност за изпращане на заявка на мрежовия порт с обработчик AJP. Според предварителни данни, в мрежата е намерена повече от 1.2 млн хостове, приемащи заявки по протокола AJP.

Уязвимостта е присъства в протокола AJP, а не е причинена от грешка в реализацията. Освен приемане на връзки по HTTP (порт 8080), в Apache Tomcat по подразбиране е разрешен достъп до уеб приложението чрез протокола AJP (Apache Jserv Protocol, порт 8009), който представлява оптимизиран за по-висока производителност бинарен аналог на HTTP, обикновено използван при създаване на клъстери от Tomcat сървъри или за ускоряване на взаимодействието с Tomcat на обратен прокси или балансир на натоварването.

AJP предоставя стандартна функция за достъп до файлове на сървера, която може да се използва и за получаване на файлове, които не трябва да бъдат разкривани. Предполага се, че достъпът до AJP е отворен само за доверени сървъри, но на практика в конфигурация по подразбиране Tomcat е стартирал обработчика на всички мрежови интерфейси, а заявленията са приемани без аутентикация. Достъпът е възможен до всякакви файлове на уеб приложението, включително съдържанието на WEB-INF, META-INF и всякакви други директории, предоставяни чрез повикване на ServletContext.getResourceAsStream(). AJP също така позволява използването на всеки файл в достъпните за уеб приложението директории като JSP скрипт.

Проблемът се проявява от версията на Tomcat 6.x, издадена преди 13 години. Освен самия Tomcat, проблемът засяга и използващи неговите продукти, като Red Hat JBoss Web Server (JWS), JBoss Enterprise Application Platform (EAP), а също и самостоятелни уеб приложения, използващи Spring Boot. Аналогичната уязвимост (CVE-2020-1745) присъства в уеб сървъра Undertow, използван в сървъра Wildfly. В JBoss и Wildfly протоколът AJP по подразбиране е активиран само в standalone-full-ha.xml, standalone-ha.xml и ha/full-ha профили в domain.xml. Поддръжката на AJP в Spring Boot е деактивирана по подразбиране. В момента различни групи са подготвили повече от десет работни примера на експлоити (
1,
2,
3,
4,
5,
6,
7,
8,
9,
10,
11).

Уязвимостта е отстранена в версиите на Tomcat 9.0.31, 8.5.51 и 7.0.100 (поддържане на версия 6.x спряно). Можете да следите появата на обновления в дистрибуциите на тези страници: Debian, Ubuntu, RHEL, Fedora, SUSE, FreeBSD. Като обходна мярка за защита можете да деактивирате услугата Tomcat AJP Connector (да свържете слушащия сокет към localhost или да коментирате реда с Connector port = "8009"), ако тя не е необходима, или да настроят да активирате автентификация с помощта на атрибутите "secret" и "address", ако услугата се използва за взаимодействие с други сървъри и прокси, базирани на mod_jk и mod_proxy_ajp (mod_cluster не поддържа автентификация).

Източник: opennet.ru