JSP кодын ауыстыруға және веб-бағдарлама файлдарын алуға мүмкіндік беретін Apache Tomcat осалдығы

Қытайлық Chaitin Tech компаниясының зерттеушілері анықтады осалдық (CVE-2020-1938) Apache Tomcat, Java Servlet, JavaServer Pages, Java Expression Language және Java WebSocket технологияларының ашық іске асырылуы. Осалдыққа Ghostcat кодтық атауы және маңызды деңгей (9.8 CVSS) тағайындалды. Мәселе әдепкі конфигурацияда 8009 желі портында сұрау жіберу арқылы параметрлері мен қолданбаның бастапқы кодтары бар файлдарды қоса, веб-бағдарламалар каталогындағы кез келген файлдардың мазмұнын оқуға мүмкіндік береді.

Сондай-ақ осалдық басқа файлдарды қолданба кодына импорттауға мүмкіндік береді, егер қолданба файлдарды серверге жүктеп салуға мүмкіндік берсе, серверде кодты орындауға мүмкіндік береді (мысалы, шабуылдаушы сурет ретінде жасырылған JSP сценарийін жүктеп салуы мүмкін. суретті жүктеу пішіні). Шабуыл AJP өңдеушісі бар желілік портқа сұрау жіберу мүмкін болған кезде жүзеге асырылуы мүмкін. Алдын ала мәліметтер бойынша, онлайн табылды AJP хаттамасы арқылы сұрауларды қабылдайтын 1.2 миллионнан астам хост.

Осалдық AJP протоколында бар және шақырмаған іске асырудағы қате. HTTP (порт 8080) арқылы қосылымдарды қабылдаудан басқа, Apache Tomcat әдепкі бойынша AJP протоколы арқылы веб-бағдарламаға кіруге мүмкіндік береді.Apache Jserv протоколы, порт 8009), жоғары өнімділік үшін оңтайландырылған HTTP екілік аналогы болып табылады, әдетте Tomcat серверлерінің кластерін құру кезінде немесе кері проксиде немесе жүктеме балансында Tomcat-пен өзара әрекеттесуді жылдамдату үшін пайдаланылады.

AJP сервердегі файлдарға қол жеткізу үшін стандартты функцияны қамтамасыз етеді, оны пайдалануға болады, соның ішінде ашылуға жатпайтын файлдарды алу. AJP тек сенімді серверлер үшін қол жетімді болуы керек, бірақ шын мәнінде Tomcat әдепкі конфигурациясы өңдегішті барлық желі интерфейстерінде іске қосты және аутентификациясыз қабылданған сұраулар. WEB-INF, META-INF мазмұнын және ServletContext.getResourceAsStream() қызметіне қоңырау шалу арқылы берілген кез келген басқа каталогтарды қоса, кез келген веб-бағдарлама файлдарына қол жеткізуге болады. AJP сонымен қатар веб-бағдарламаға JSP сценарийі ретінде қол жетімді каталогтардағы кез келген файлды пайдалануға мүмкіндік береді.

Мәселе 13 жыл бұрын шығарылған Tomcat 6.x тармағынан бері пайда болды. Tomcat мәселесіне қосымша әсер етеді және оны пайдаланатын өнімдер, мысалы, Red Hat JBoss Web Server (JWS), JBoss Enterprise Application Platform (EAP), сондай-ақ пайдаланатын дербес веб-қосымшалар Көктемгі етік. Ұқсас осалдық (CVE-2020-1745) қазіргі веб-серверде Астында, Wildfly қолданба серверінде қолданылады. JBoss және Wildfly қолданбаларында AJP әдепкі бойынша тек domen.xml ішіндегі оқшау-full-ha.xml, автономды-ha.xml және ha/full-ha профильдерінде қосылады. Spring Boot бағдарламасында AJP қолдауы әдепкі бойынша өшірілген. Қазіргі уақытта әртүрлі топтар эксплуатацияның оннан астам жұмыс мысалдарын дайындады (
1,
2,
3,
4,
5,
6,
7,
8,
9,
10,
11).

Tomcat шығарылымдарында осалдық түзетілді 9.0.31, 8.5.51 и 7.0.100 (6.x тармағына техникалық қызмет көрсету тоқтатылды). Осы беттерде тарату жинақтарында жаңартулардың қолжетімділігін бақылауға болады: Debian, Ubuntu, RHEL, Fedora, SUSE, FreeBSD. Шешім ретінде, қажет болмаса, Tomcat AJP Connector қызметін өшіруге болады (тыңдау ұясын localhost-ке байланыстыру немесе Connector порты = "8009" арқылы жолға түсініктеме беру) немесе орнату егер қызмет mod_jk және mod_proxy_ajp (mod_cluster аутентификацияны қолдамайды) негізіндегі басқа серверлермен және прокси-серверлермен өзара әрекеттесу үшін пайдаланылса, "құпия" және "мекенжай" атрибуттары арқылы аутентификацияланған қол жеткізу.

Ақпарат көзі: opennet.ru