Apache Tomcat-ում վտանգավորություն, որը թույլ է տալիս համալրել JSP-կոդ և ստանալ web-ծրագրերի ֆայլեր

Չինական Chaitin Tech ընկերության հետազոտողները uncovered խոցելիություն (CVE-2020-19385.5TB Apache Tomcat, Java Servlet, JavaServer Pages, Java Expression Language և Java WebSocket տեխնոլոգիաների բաց реализация։ Ունկնդրումներին Ghostcat անվանումը հատկացվել է, և նրա վտանգի մակարդակը բարձր է (9.8 CVSS)։ Խնդիրը թույլ է տալիս տեղադրումների հասկանալու վերաբերյալ ցանկացած ֆայլի պարունակությունը կարդալ ենթադրելով տվյալ առցանց ծրագրում, այդ թվում ՝ կարգավորող ֆայլերին և application's source code-ին, ցանկացած գործողության անարգության ֆիլմանտ դիրքում 8009-ին մուտք գործելիս։

Ունկնդրում տրվող այլ ֆայլերի ներմուծումը application's code-ին հնարավորություն է տալիս, որը թույլ է տալիս իրականացնել կոդի կատարումը սերվերում, եթե ծրագիրը թույլ է տալիս ֆայլերի ընդալում (օրինակ, հարձակում իրականացնողը կարող է JPEG-script ներբեռնել երևակայելի իրերի մուտքագրման միջոցով)։ Ահաբեկչությունը կարող է տեղի ունենալ AJP-կոդային մշակողի թողարկման միջոցով` այս բարձրացնել կարողացած 8009-րդ նեկառալը։ Կախված նախնական տեղեկություններին, ցանցում հայտնաբերվել է 1.2 միլիոն հոստինգներ ունի, որոնք AJP պրոտոկոլին ազդում են։

Ունկնդրումը լինում է AJP պրոտոկոլում, եվ առաջացնում է իրագործման սխալ։ Ապակառուցվածքի կառավարելու HTTP զգացվել (8080 պորտը) Apache Tomcat-ը տնօրինում է web-app-ին կոնֆիգուրա AJP (Apache Jserv Protocol, 8009 պորտը), որը հանդիսանում է HTTP-ի հասանելիության գիծը բաղադրիչային գծագրում, որը փաստացիորեն օգտագործվում է Tomcat servers-ների աշխատողների կազմակցման ժամանակ կամ Tomcat-ի առավել արդյունավետ փոխակերպումների համար։

AJP-ը տրամադրում է պաշտոնական ֆունկցիոնալություն սերվերի ֆայլերին, որ կարող են օգտագործվել, այդ թվում ՝ ոչ բացահայտվող ֆայլերի։ Դա ենթադրում է, որ AJP-ին մուտքը չի ապահովավորվել այլ առաջանցիկ սերվերի միջոցով, բայց իրականում Tomcat-ի տվյալ կոնֆիգուրներան Այլ սերվերավորման մշակոջներ բարձր են բարձր բարեկցյա իրականացնող հեռանկարների հաս ու ստեղծված փոփոխություններով, քանի որ ինքնաբոյական գործելով աշխատող ցանցի բոլոր կարգացի հետ գրանցվելու։ Աջելլի դիրքերում հղումվող բոլոր ֆայլերով web-app-ը յուրաքանչյուր մասնավար վեց երեխայի համար հնարավոր է հասնել WEB-INF, META-INF և յուրաքանչյուր ոք եղողները, որոնք շարաբանում են ServletContext.getResourceAsStream() խաղաղություն անցնելով։ AJP-ը նաև թույլ է տալիս ցանկացած ֆայլ, որն ապրուստում է web-app-ի դասասենյակներում, տնօրինել որպես JSP-script։

Այս խնդիրը կա Tomcat 6.x-ի ընդամենը 13 տարի առաջ թողարկված ասպարեզում։ Կրկնենք ծրագրում Tomcat-ի ազդուստի դատարանում Epiphany-ին, որտեղ կանգնեցին գովազդային ցուցակները ներբեռնվել։ և օգտագործող դրա արտադրանքները, ինչպիսիք են Red Hat JBoss Web Server (JWS), JBoss Enterprise Application Platform (EAP), ինչպես նաև ինքնաբավ web-ծրագրերը, որոնք օգտագործում են Spring Boot. Նմանապես, խոցելիություն (CVE-2020-1745) ներդրված է web-սերվերում Undertow, օգտագործվող Wildfly դիմումով: JBoss և Wildfly-ում AJP արձանագրությունը по умолчанию միացվում է միայն standalone-full-ha.xml, standalone-ha.xml և ha/full-ha պրոֆիլներում domain.xml-ում: Spring Boot-ում AJP աջակցությունը որոշված չէ по умолчанию: Այժմ տարբեր խմբակցությունների կողմից պատրաստվել է ավելի քան տասնյակ աշխատող օրինակների էքսպլոյտներ (
1,
2,
3,
4,
5,
6,
7,
8,
9,
10,
11).

Խոցելիությունը վերացվել է Tomcat-ի թողարկումների մեջ 9.0.31, 8.5.51 և 7.0.100 (6.x ճյուղի պահպանումը դադարեցվել է). Ապահովումների ժամանակը կարելի է հետևել վերոնշյալ էջերում: Debian, Ubuntu, RHEL, Fedora, SUSE, FreeBSD. Քանի որ պաշտպանման շրջանցման միջոց՝ կարելի է deaktivировать Tomcat AJP Connector ծառայությունը (կապել լսող սոկետը localhost-ի հետ կամ մեկնաբանել Connector port = «8009» տողը), եթե այն անհրաժեշտ չէ, կամ կարգավորել ավտորիզված մուտքը «secret» և «address» atributos-ներով, եթե ծառայությունը օգտագործվում է այլ սերվերների և prox-ների հետ mod_jk և mod_proxy_ajp հիման վրա փոխազդելու համար (mod_cluster-ը չի աջակցում նույնականացմանը):

Ընտանիք: opennet.ru