Haavatavus Apache Tomcat'is, mis võimaldab sisestada JSP-koodi ja ligipääseda veebirakenduste failidele

Hiina ettevõtte Chaitin Tech teadlased on tuvastanud haavatavus (CVE-2020-1938) Apache Tomcat, avatud Java Servlet, JavaServer Pages, Java Expression Language ja Java WebSocket'i tehnoloogiate rakendus. Haavatavusele on antud koodnimi Ghostcat ja selle kriitiline ohtlikkuse tase on 9.8 CVSS. Probleem võimaldab vaikimisi konfiguratsioonis lugeda mis tahes faili sisu veebirakenduse kataloogist, sealhulgas seadistustele ja rakenduse lähtekoodile, edastades päringu võrgupordile 8009.

Haavatavus võimaldab ka importida teisi faile rakenduskoodi, mis võib võimaldada koodi täitmist serveris, kui rakendus lubab faile serverisse laadida (näiteks võib ründaja laadida JSP-skripti piltide üleslaadimisvormi kaudu). Rünnak võib toimuda, kui on võimalik saata päring võrgupordile, millel on AJP käitleja. Esialgsetel andmetel on internetis leidnud üle 1,2 miljoni hosti, mis aktsepteerivad päringuid AJP protokolli kaudu.

Haavatavus esineb AJP protokollis, mitte on põhjustatud rakenduse teostamise veast. Lisaks HTTP (port 8080) ühenduste vastuvõtmisele võimaldab Apache Tomcat vaikimisi juurdepääsu veebirakendusele AJP protokolli kaudu (Apache Jserv Protocol, port 8009), mis on binaarne variant HTTP, optimeeritud suurema jõudluse saavutamiseks, ja seda kasutatakse tavaliselt Tomcat-serverite klastrite loomiseks või Tomcat'i suhtlemise kiiremaks muutmiseks tagasipöördelise proksi või koormuse tasakaalustaja kaudu.

AJP pakub vaikimisi funktsiooni juurdepääsuks serveri failidele, mida võib kasutada ka mitteavalike failide saamiseks. Eeldatakse, et juurdepääs AJP-le on avatud ainult usaldusväärsetele serveritele, kuid tegelikult käivitati vaikimisi Tomcat'i käitleja kõigil võrguliideseid, ning päringud võeti vastu ilma autentimiseta. Juurdepääs on võimalik mis tahes failidele veebirakenduses, sealhulgas WEB-INF, META-INF sisu ja mis tahes muude kataloogide sisu, mida saab kätte kutsudes ServletContext.getResourceAsStream(). AJP võimaldab ka kasutada mis tahes faili veebirakenduse kataloogides skriptina JSP.

Probleem ilmeneb alates 13 aastat tagasi välja antud Tomcat 6.x harust. Lisaks Tomcat'ile on probleem ka puudutab ja selle põhjal töötavad tooted, nagu Red Hat JBoss Web Server (JWS), JBoss Enterprise Application Platform (EAP), samuti iseseisvad veebirakendused, mis kasutavad Spring Boot. Sarnane haavatavus (CVE-2020-1745) ainult hiina keeles. veebiserveris Undertow, mis on kasutusel Wildfly rakenduste serveris. JBossis ja Wildfly's on AJP-protokoll vaikimisi lubatud ainult standalone-full-ha.xml, standalone-ha.xml ja ha/full-ha profiilides domain.xml-failis. Spring Bootis on AJP tugi vaikimisi keelatud. Praegu on erinevad grupid ette valmistanud rohkem kui tosin töötavat eksploitide näidet (
1,
2,
3,
4,
5,
6,
7,
8,
9,
10,
11).

Haavatavus on kõrvaldatud Tomcat'i väljaannetes 9.0.31, 8.5.51 ja 7.0.100 (6.x haru hoidmine Samas on Fedora 32). Uuenduse ilmumist distributsioonides saab jälgida nende lehtede kaudu: Debian, Ubuntu, RHEL, Fedora, SUSE, FreeBSD. Kaitseks võib ebaõnnestumise korral keelduda Tomcat AJP Connectori teenusest (siduda kuulav soket localhostiga või kommenteerida välja Connector port = "8009" rida), kui seda ei ole vaja, või seadistada autentitud juurdepääs „secret“ ja „address“ atribuutide kaudu, kui teenust kasutatakse teiste serverite ja mod_jk ning mod_proxy_ajp põhjaliste vaheliseks suhtlemiseks (mod_cluster autentimist ei toetata).

Allikas: opennet.ru