Ko te whakaraeraetanga i roto i te Apache Tomcat ka taea e koe te whakakapi i te waehere JSP me te whiwhi i nga konae tono paetukutuku

Kua kitea e nga kairangahau mai i te kamupene Hainamana Chaitin Tech whakaraeraetanga (CVE-2020-1938) i roto Apache Tomcat, he whakatinanatanga tuwhera o Java Servlet, JavaServer Pages, Java Expression Language me Java WebSocket hangarau. Ko te whakaraeraetanga kua tohua te ingoa waehere Ghostcat me te taumata tino taumaha (9.8 CVSS). Ko te raruraru ka taea, i roto i te whirihoranga taunoa, ma te tuku tono i runga i te tauranga whatunga 8009, ki te panui i nga ihirangi o nga konae mai i te raarangi tono tukutuku, tae atu ki nga konae me nga tautuhinga me nga waehere puna tono.

Na te whakaraeraetanga ka taea te kawemai i etahi atu konae ki roto i te waehere tono, ka taea te mahi waehere ki runga i te tūmau mena ka whakaaetia e te tono te tuku i nga konae ki te tūmau (hei tauira, ka taea e te kaitukino te tuku i tetahi tuhinga JSP kua huna hei ahua ma te ahua tukuake ahua). Ka taea te whakaeke i te wa ka taea te tuku tono ki te tauranga whatunga me te kaihautu AJP. E ai ki nga raraunga tuatahi, ipurangi kitea neke atu i te 1.2 miriona nga kaihautu e whakaae ana ki nga tono ma te kawa AJP.

Ko te whakaraerae kei roto i te kawa AJP, a kaore i karangatia hapa i te whakatinanatanga. I tua atu i te whakaae ki nga hononga ma te HTTP (tauranga 8080), ka taea e Apache Tomcat taunoa te uru ki tetahi tono tukutuku ma te kawa AJP (Kawa Apache Jserv, tauranga 8009), he tairitenga takirua o te HTTP kua arotauhia mo nga mahi teitei ake, ka whakamahia i te wa e hanga ana i te roopu o nga kaitoro Tomcat, hei tere ake ranei te taunekeneke ki a Tomcat i runga i te takawaenga whakamuri, i te taurite kawenga ranei.

Ka whakaratohia e te AJP he mahinga paerewa mo te uru atu ki nga konae kei runga i te tūmau, ka taea te whakamahi, tae atu ki te whiwhi i nga konae kaore i raro i te korero. Ko te tikanga ko te AJP ka uru atu ki nga kaitoro whakawhirinaki anake, engari ko te whirihoranga taunoa a Tomcat i whakahaere te kaihautu i runga i nga hononga whatunga katoa me te whakaae ki nga tono kaore he motuhēhēnga. Ka taea te uru ki nga konae tono tukutuku, tae atu ki nga ihirangi o WEB-INF, META-INF me etahi atu whaiaronga ka tukuna ma te waea ki ServletContext.getResourceAsStream(). Ka taea hoki e AJP te whakamahi i tetahi konae kei roto i nga raarangi ka uru ki te tono paetukutuku hei tuhinga JSP.

Ko te raruraru kua puta mai i te wa i tukuna ai te peka Tomcat 13.x 6 tau ki muri. I tua atu i te raruraru Tomcat ano ka pa me nga hua e whakamahi ana, penei i te Red Hat JBoss Web Server (JWS), JBoss Enterprise Application Platform (EAP), me nga tono tukutuku whaiaro e whakamahi ana. Puka puna. Whakaraeraetanga rite (CVE-2020-1745) inaianei i roto i te tūmau tukutuku Whakakore, whakamahia i roto i te tūmau tono Wildfly. I roto i te JBoss me te Wildfly, ka whakahohea te AJP ma te taunoa anake i roto i nga korero motuhake-full-ha.xml, standalone-ha.xml me te ha/full-ha i te domain.xml. I te Spring Boot, ka monokia te tautoko AJP ma te taunoa. I tenei wa, kua whakaritea e nga roopu rereke neke atu i te tekau ma rua nga tauira mahi mo nga mahi mahi (
1,
2,
3,
4,
5,
6,
7,
8,
9,
10,
11).

Ko te whakaraerae kua whakaritea i roto i nga tukunga a Tomcat 9.0.31, 8.5.51 и 7.0.100 (te tiaki i te peka 6.x ka mutu). Ka taea e koe te whai i te waatea o nga whakahōutanga kei roto i nga kete tohatoha i enei wharangi: Debian, Ubuntu, RHEL, Fedora, SUSE, FreeBSD. Hei mahi, ka taea e koe te whakakore i te ratonga Tomcat AJP Connector (herea he turanga whakarongo ki te localhost, korero ranei i te raina me te tauranga Hononga = "8009") ki te kore e hiahiatia, ranei whakaturia uru whakamotuhēhē mā te whakamahi i te "huna" me te "wāhitau" huanga, ki te whakamahia te ratonga ki te taunekeneke ki ētahi atu tūmau me takawaenga i runga i mod_jk me mod_proxy_ajp (mod_cluster e kore e tautoko motuhēhēnga).

Source: opennet.ru