{"id":72053,"date":"2020-03-01T08:42:47","date_gmt":"2020-03-01T05:42:47","guid":{"rendered":"https:\/\/prohoster.info\/blog\/uyazvimost-v-apache-tomcat-pozvolyayushhaya-podstavit-jsp-kod-i-poluchit-fajly-web-prilozhenij"},"modified":"2020-03-03T16:10:21","modified_gmt":"2020-03-03T13:10:21","slug":"uyazvimost-v-apache-tomcat-pozvolyayushhaya-podstavit-jsp-kod-i-poluchit-fajly-web-prilozhenij","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-apache-tomcat-pozvolyayushhaya-podstavit-jsp-kod-i-poluchit-fajly-web-prilozhenij","title":{"rendered":"Vuln\u00e9rabilit\u00e9 dans Apache Tomcat, permettant l'injection de code JSP et l'acc\u00e8s aux fichiers des applications web","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Des chercheurs de la soci\u00e9t\u00e9 chinoise Chaitin Tech ont identifi\u00e9 CVE-2020-10174<\/a><\/noindex> (CVE-2020-1938<\/a><\/noindex>) dans Apache Tomcat<\/a><\/noindex>, une impl\u00e9mentation open source des technologies Java Servlet, JavaServer Pages, Java Expression Language et Java WebSocket. La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 nomm\u00e9e Ghostcat et class\u00e9e avec un niveau de dangerosit\u00e9 critique (9.8 CVSS). Le probl\u00e8me permet, par d\u00e9faut, de lire le contenu de n'importe quel fichier du r\u00e9pertoire de l'application web en envoyant une requ\u00eate sur le port r\u00e9seau 8009, y compris les fichiers de configuration et le code source de l'application.<\/p>\n

La vuln\u00e9rabilit\u00e9 permet \u00e9galement d'importer d'autres fichiers dans le code de l'application, ce qui permet l'ex\u00e9cution de code sur le serveur si l'application autorise le t\u00e9l\u00e9chargement de fichiers sur le serveur (par exemple, un attaquant peut t\u00e9l\u00e9charger un script JSP d\u00e9guis\u00e9 en image via un formulaire de t\u00e9l\u00e9chargement). L'attaque peut \u00eatre r\u00e9alis\u00e9e si une requ\u00eate peut \u00eatre envoy\u00e9e au port r\u00e9seau avec un traitement AJP. Selon les donn\u00e9es pr\u00e9liminaires, il y a dans le r\u00e9seau trouv\u00e9<\/a><\/noindex> plus de 1,2 million d'h\u00f4tes acceptant des requ\u00eates via le protocole AJP. <\/p>\n

La vuln\u00e9rabilit\u00e9 est pr\u00e9sente dans le protocole AJP, et n'est pas caus\u00e9e<\/a><\/noindex> par une erreur d'impl\u00e9mentation. En plus d'accepter des connexions HTTP (port 8080), Apache Tomcat autorise par d\u00e9faut l'acc\u00e8s \u00e0 l'application web via le protocole AJP (Apache Jserv Protocol<\/a><\/noindex>, port 8009), qui est un \u00e9quivalent binaire optimis\u00e9 pour une performance sup\u00e9rieure \u00e0 HTTP, g\u00e9n\u00e9ralement utilis\u00e9 lors de la cr\u00e9ation de clusters de serveurs Tomcat ou pour acc\u00e9l\u00e9rer l'interaction avec Tomcat sur un proxy inverse ou un \u00e9quilibreur de charge.<\/p>\n

AJP offre une fonctionnalit\u00e9 int\u00e9gr\u00e9e pour acc\u00e9der aux fichiers sur le serveur, qui peut \u00e9galement \u00eatre utilis\u00e9e pour r\u00e9cup\u00e9rer des fichiers qui ne devraient pas \u00eatre divulgu\u00e9s. Il est suppos\u00e9 que l'acc\u00e8s \u00e0 AJP est ouvert uniquement aux serveurs de confiance, mais en r\u00e9alit\u00e9, dans la configuration par d\u00e9faut de Tomcat, le traitement \u00e9tait ex\u00e9cut\u00e9 sur toutes les interfaces r\u00e9seau et les requ\u00eates \u00e9taient accept\u00e9es sans authentification. L'acc\u00e8s est possible \u00e0 n'importe quel fichier de l'application web, y compris le contenu de WEB-INF, META-INF et d'autres r\u00e9pertoires, accessibles via l'appel ServletContext.getResourceAsStream(). AJP permet \u00e9galement d'utiliser n'importe quel fichier dans les r\u00e9pertoires accessibles \u00e0 l'application web comme un script JSP.<\/p>\n

Le probl\u00e8me appara\u00eet \u00e0 partir de la branche Tomcat 6.x publi\u00e9e il y a 13 ans. En plus de Tomcat lui-m\u00eame, le probl\u00e8me touche<\/a><\/noindex> et les produits qui l'utilisent, tels que Red Hat JBoss Web Server (JWS), JBoss Enterprise Application Platform (EAP), ainsi que des applications web autonomes utilisant Spring Boot<\/a><\/noindex>. Une vuln\u00e9rabilit\u00e9 similaire (CVE-2020-1745) est pr\u00e9sent<\/a><\/noindex> dans le serveur web Undertow<\/a><\/noindex>, utilis\u00e9 dans le serveur d'applications Wildfly. Dans JBoss et Wildfly, le protocole AJP est activ\u00e9 par d\u00e9faut uniquement dans les profils standalone-full-ha.xml, standalone-ha.xml et ha\/full-ha dans domain.xml. Dans Spring Boot, le support AJP est d\u00e9sactiv\u00e9 par d\u00e9faut. Actuellement, plus d'une dizaine d'exemples exploitables ont \u00e9t\u00e9 pr\u00e9par\u00e9s par diff\u00e9rents groupes (
\n 1<\/a><\/noindex>,
\n 2<\/a><\/noindex>,
\n 3<\/a><\/noindex>,
\n 4<\/a><\/noindex>,
\n 5<\/a><\/noindex>,
\n 6<\/a><\/noindex>,
\n 7<\/a><\/noindex>,
\n 8<\/a><\/noindex>,
\n 9<\/a><\/noindex>,
\n 10<\/a><\/noindex>,
\n 11<\/a><\/noindex>). <\/p>\n

La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 corrig\u00e9e dans les versions de Tomcat 9.0.31<\/a><\/noindex>, 8.5.51<\/a><\/noindex> et 7.0.100<\/a><\/noindex> (soutien de la branche 6.x interrompu<\/a><\/noindex>). Pour suivre l'apparition de la mise \u00e0 jour dans les distributions, vous pouvez consulter ces pages : Debian<\/a><\/noindex>, Ubuntu<\/a><\/noindex>, RHEL<\/a><\/noindex>, Fedora<\/a><\/noindex>, SUSE<\/a><\/noindex>, FreeBSD<\/a><\/noindex>Comme mesure de contournement de la protection, vous pouvez d\u00e9sactiver le service Tomcat AJP Connector (lier le socket d'\u00e9coute \u00e0 localhost ou commenter la ligne avec Connector port = \"8009\"), s'il n'est pas n\u00e9cessaire, ou configurer<\/a><\/noindex> un acc\u00e8s authentifi\u00e9 \u00e0 l'aide des attributs \"secret\" et \"address\", si le service est utilis\u00e9 pour interagir avec d'autres serveurs et des proxies bas\u00e9s sur mod_jk et mod_proxy_ajp (mod_cluster ne prend pas en charge l'authentification). <\/p>\n

<\/a><\/noindex><\/p>\n

Source : opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u0438\u0442\u0430\u0439\u0441\u043a\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Chaitin Tech \u0432\u044b\u044f\u0432\u0438\u043b\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2020-1938) \u0432 Apache Tomcat, \u043e\u0442\u043a\u0440\u044b\u0442\u043e\u0439 \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u0439 Java Servlet, JavaServer Pages, Java Expression Language \u0438 Java WebSocket. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u043f\u0440\u0438\u0441\u0432\u043e\u0435\u043d\u043e \u043a\u043e\u0434\u043e\u0432\u043e\u0435 \u0438\u043c\u044f Ghostcat \u0438 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0443\u0440\u043e\u0432\u0435\u043d\u044c \u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 (9.8 CVSS). \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0447\u0435\u0440\u0435\u0437 \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0443 \u0437\u0430\u043f\u0440\u043e\u0441\u0430 \u043f\u043e \u0441\u0435\u0442\u0435\u0432\u043e\u043c\u0443 \u043f\u043e\u0440\u0442\u0443 8009 \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u0442\u044c \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 \u043b\u044e\u0431\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u0438\u0437 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-72053","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Vuln\u00e9rabilit\u00e9 dans Apache Tomcat permettant d'injecter du code JSP et d'acc\u00e9der aux fichiers des applications web | ProHoster","description":"Des chercheurs de l'entreprise chinoise Chaitin Tech ont d\u00e9couvert une vuln\u00e9rabilit\u00e9 (","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-apache-tomcat-pozvolyayushhaya-podstavit-jsp-kod-i-poluchit-fajly-web-prilozhenij","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 Apache Tomcat, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c JSP-\u043a\u043e\u0434 \u0438 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0444\u0430\u0439\u043b\u044b web-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u0438\u0442\u0430\u0439\u0441\u043a\u043e\u0439 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Chaitin Tech \u0432\u044b\u044f\u0432\u0438\u043b\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-apache-tomcat-pozvolyayushhaya-podstavit-jsp-kod-i-poluchit-fajly-web-prilozhenij","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-03-01T05:42:47+00:00","article:modified_time":"2020-03-03T13:10:21+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"72053","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 18:51:22","updated":"2022-10-08 06:25:27","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/72053","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=72053"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/72053\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=72053"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=72053"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=72053"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}