JSP കോഡിന് പകരമായി വെബ് ആപ്ലിക്കേഷൻ ഫയലുകൾ നേടാനും നിങ്ങളെ അനുവദിക്കുന്ന അപ്പാച്ചെ ടോംകാറ്റിലെ ദുർബലത

ചൈനീസ് കമ്പനിയായ ചൈറ്റിൻ ടെക്കിലെ ഗവേഷകരാണ് ഇത് കണ്ടെത്തിയത് ദുർബലത (CVE-2020-1938) ൽ അപ്പാച്ചെ ടോക്ക്കാറ്റ്, Java Servlet, JavaServer പേജുകൾ, Java Expression Language, Java WebSocket സാങ്കേതികവിദ്യകൾ എന്നിവയുടെ തുറന്ന നടപ്പാക്കൽ. അപകടസാധ്യതയ്ക്ക് ഗോസ്റ്റ്കാറ്റ് എന്ന കോഡ് നാമവും ഗുരുതരമായ തീവ്രത ലെവലും (9.8 CVSS) നൽകിയിരിക്കുന്നു. നെറ്റ്‌വർക്ക് പോർട്ട് 8009-ൽ ഒരു അഭ്യർത്ഥന അയയ്‌ക്കുന്നതിലൂടെ, സ്ഥിരസ്ഥിതി കോൺഫിഗറേഷനിൽ, വെബ് ആപ്ലിക്കേഷൻ ഡയറക്‌ടറിയിൽ നിന്ന് ക്രമീകരണങ്ങളും ആപ്ലിക്കേഷൻ സോഴ്‌സ് കോഡുകളുമുള്ള ഫയലുകൾ ഉൾപ്പെടെ ഏത് ഫയലുകളുടെയും ഉള്ളടക്കങ്ങൾ വായിക്കാൻ പ്രശ്നം അനുവദിക്കുന്നു.

സെർവറിലേക്ക് ഫയലുകൾ അപ്‌ലോഡ് ചെയ്യാൻ ആപ്ലിക്കേഷൻ അനുവദിക്കുകയാണെങ്കിൽ സെർവറിൽ കോഡ് എക്‌സിക്യൂഷൻ അനുവദിക്കുന്ന ആപ്ലിക്കേഷൻ കോഡിലേക്ക് മറ്റ് ഫയലുകൾ ഇംപോർട്ട് ചെയ്യുന്നതും ഈ അപകടസാധ്യത സാധ്യമാക്കുന്നു (ഉദാഹരണത്തിന്, ഒരു ആക്രമണകാരിക്ക് ഒരു ഇമേജായി വേഷംമാറി ഒരു JSP സ്‌ക്രിപ്റ്റ് അപ്‌ലോഡ് ചെയ്യാൻ കഴിയും. ഇമേജ് അപ്‌ലോഡ് ഫോം). AJP ഹാൻഡ്‌ലർ ഉപയോഗിച്ച് ഒരു നെറ്റ്‌വർക്ക് പോർട്ടിലേക്ക് ഒരു അഭ്യർത്ഥന അയയ്ക്കാൻ കഴിയുമ്പോൾ ആക്രമണം നടത്താം. പ്രാഥമിക ഡാറ്റ അനുസരിച്ച്, ഓൺലൈൻ കണ്ടെത്തി 1.2 ദശലക്ഷത്തിലധികം ഹോസ്റ്റുകൾ AJP പ്രോട്ടോക്കോൾ വഴി അഭ്യർത്ഥനകൾ സ്വീകരിക്കുന്നു.

AJP പ്രോട്ടോക്കോളിൽ ഈ അപകടസാധ്യത നിലവിലുണ്ട്, കൂടാതെ വിളിച്ചിട്ടില്ല നടപ്പിലാക്കുന്നതിൽ പിശക്. HTTP (പോർട്ട് 8080) വഴിയുള്ള കണക്ഷനുകൾ സ്വീകരിക്കുന്നതിനു പുറമേ, Apache Tomcat ഡിഫോൾട്ടായി AJP പ്രോട്ടോക്കോൾ വഴി ഒരു വെബ് ആപ്ലിക്കേഷനിലേക്ക് പ്രവേശനം അനുവദിക്കുന്നു (അപ്പാച്ചെ ജെസെർവ് പ്രോട്ടോക്കോൾ, പോർട്ട് 8009), ഉയർന്ന പ്രകടനത്തിനായി ഒപ്റ്റിമൈസ് ചെയ്ത എച്ച്ടിടിപിയുടെ ബൈനറി അനലോഗ് ആണ്, സാധാരണയായി ടോംകാറ്റ് സെർവറുകളുടെ ഒരു ക്ലസ്റ്റർ സൃഷ്ടിക്കുമ്പോഴോ റിവേഴ്സ് പ്രോക്സിയിലോ ലോഡ് ബാലൻസറിലോ ടോംകാറ്റുമായുള്ള ആശയവിനിമയം വേഗത്തിലാക്കാനോ ഉപയോഗിക്കുന്നു.

സെർവറിൽ ഫയലുകൾ ആക്‌സസ് ചെയ്യുന്നതിന് AJP ഒരു സ്റ്റാൻഡേർഡ് ഫംഗ്‌ഷൻ നൽകുന്നു, അത് വെളിപ്പെടുത്തുന്നതിന് വിധേയമല്ലാത്ത ഫയലുകൾ നേടുന്നത് ഉൾപ്പെടെ ഉപയോഗിക്കാനാകും. AJP വിശ്വസനീയമായ സെർവറുകളിലേക്ക് മാത്രമേ ആക്‌സസ് ചെയ്യാനാകൂ, എന്നാൽ വാസ്തവത്തിൽ ടോംകാറ്റിന്റെ ഡിഫോൾട്ട് കോൺഫിഗറേഷൻ എല്ലാ നെറ്റ്‌വർക്ക് ഇന്റർഫേസുകളിലും ഹാൻഡ്‌ലറിനെ പ്രവർത്തിപ്പിക്കുകയും പ്രാമാണീകരണം കൂടാതെ അഭ്യർത്ഥനകൾ സ്വീകരിക്കുകയും ചെയ്യുന്നു. ServletContext.getResourceAsStream() എന്നതിലേക്കുള്ള ഒരു കോളിലൂടെ നൽകിയ WEB-INF, META-INF, മറ്റ് ഡയറക്‌ടറികൾ എന്നിവയുൾപ്പെടെ ഏത് വെബ് ആപ്ലിക്കേഷൻ ഫയലുകളിലേക്കും ആക്‌സസ്സ് സാധ്യമാണ്. ഒരു JSP സ്ക്രിപ്റ്റായി വെബ് ആപ്ലിക്കേഷന് ആക്സസ് ചെയ്യാവുന്ന ഡയറക്‌ടറികളിലെ ഏത് ഫയലും ഉപയോഗിക്കാനും AJP നിങ്ങളെ അനുവദിക്കുന്നു.

13 വർഷം മുമ്പ് പുറത്തിറങ്ങിയ Tomcat 6.x ബ്രാഞ്ച് മുതൽ ഈ പ്രശ്നം പ്രത്യക്ഷപ്പെടുന്നു. ടോംകാറ്റ് പ്രശ്നത്തിന് പുറമേ ബാധിക്കുന്നു Red Hat JBoss Web Server (JWS), JBoss Enterprise Application Platform (EAP), അതുപോലെ തന്നെ ഉപയോഗിക്കുന്ന സ്വയം ഉൾക്കൊള്ളുന്ന വെബ് ആപ്ലിക്കേഷനുകൾ പോലെയുള്ള ഉൽപ്പന്നങ്ങളും സ്പ്രിംഗ് ബൂട്ട്. സമാനമായ അപകടസാധ്യത (CVE-2020-1745) വർത്തമാന വെബ് സെർവറിൽ അണ്ടർടൗ, വൈൽഡ്‌ഫ്ലൈ ആപ്ലിക്കേഷൻ സെർവറിൽ ഉപയോഗിക്കുന്നു. JBoss, Wildfly എന്നിവയിൽ, domain.xml-ലെ standalone-full-ha.xml, standalone-ha.xml, ha/full-ha പ്രൊഫൈലുകളിൽ മാത്രമേ AJP സ്ഥിരസ്ഥിതിയായി പ്രവർത്തനക്ഷമമാക്കൂ. സ്പ്രിംഗ് ബൂട്ടിൽ, ഡിഫോൾട്ടായി AJP പിന്തുണ പ്രവർത്തനരഹിതമാക്കിയിരിക്കുന്നു. നിലവിൽ, വിവിധ ഗ്രൂപ്പുകൾ ചൂഷണങ്ങളുടെ ഒരു ഡസനിലധികം പ്രവർത്തന ഉദാഹരണങ്ങൾ തയ്യാറാക്കിയിട്ടുണ്ട് (
1,
2,
3,
4,
5,
6,
7,
8,
9,
10,
11).

ടോംകാറ്റ് റിലീസുകളിൽ കേടുപാടുകൾ പരിഹരിച്ചു 9.0.31, 8.5.51 и 7.0.100 (6.x ശാഖയുടെ പരിപാലനം നിർത്തലാക്കി). വിതരണ കിറ്റുകളിലെ അപ്‌ഡേറ്റുകളുടെ ലഭ്യത നിങ്ങൾക്ക് ഈ പേജുകളിൽ ട്രാക്ക് ചെയ്യാം: ഡെബിയൻ, ഉബുണ്ടു, ആർഎൽഇഎൽ, ഫെഡോറ, SUSE, ഫ്രീബിഎസ് ഡി. ഒരു പരിഹാരമെന്ന നിലയിൽ, നിങ്ങൾക്ക് Tomcat AJP കണക്റ്റർ സേവനം പ്രവർത്തനരഹിതമാക്കാം (ഒരു ലിസണിംഗ് സോക്കറ്റ് ലോക്കൽ ഹോസ്റ്റുമായി ബന്ധിപ്പിക്കുക അല്ലെങ്കിൽ കണക്റ്റർ പോർട്ട് = "8009" ഉപയോഗിച്ച് ലൈൻ കമന്റ് ചെയ്യുക) ആവശ്യമില്ലെങ്കിൽ, അല്ലെങ്കിൽ സജ്ജമാക്കുക mod_jk, mod_proxy_ajp (mod_cluster പ്രാമാണീകരണത്തെ പിന്തുണയ്ക്കുന്നില്ല) അടിസ്ഥാനമാക്കി മറ്റ് സെർവറുകളുമായും പ്രോക്സികളുമായും സംവദിക്കാൻ ഈ സേവനം ഉപയോഗിക്കുകയാണെങ്കിൽ, "രഹസ്യം", "വിലാസം" ആട്രിബ്യൂട്ടുകൾ ഉപയോഗിച്ച് പ്രാമാണീകരിച്ച ആക്സസ്.

അവലംബം: opennet.ru