Vulnerabbiltà f'Apache Tomcat li tippermetti li tissostitwixxi kodiċi JSP u tikseb fajls tal-applikazzjoni tal-web

Riċerkaturi mill-kumpanija Ċiniża Chaitin Tech skoprew vulnerabbiltà (CVE-2020-1938) fi Apache Tomcat, implimentazzjoni miftuħa ta 'Java Servlet, JavaServer Pages, Java Expression Language u teknoloġiji Java WebSocket. Il-vulnerabbiltà ġiet assenjata l-isem tal-kodiċi Ghostcat u livell ta 'severità kritiku (9.8 CVSS). Il-problema tippermetti, fil-konfigurazzjoni default, billi tibgħat talba fuq il-port tan-netwerk 8009, li taqra l-kontenut ta 'kwalunkwe fajl mid-direttorju tal-applikazzjoni tal-web, inklużi fajls b'settings u kodiċi tas-sors tal-applikazzjoni.

Il-vulnerabbiltà tagħmilha wkoll possibbli li jiġu importati fajls oħra fil-kodiċi tal-applikazzjoni, li tippermetti l-eżekuzzjoni tal-kodiċi fuq is-server jekk l-applikazzjoni tippermetti li jittellgħu fajls fuq is-server (pereżempju, attakkant jista’ jtella’ script JSP moħbi bħala immaġni permezz il-formola tat-tlugħ tal-immaġni). L-attakk jista 'jsir meta jkun possibbli li tintbagħat talba lil port tan-netwerk ma' handler AJP. Skont dejta preliminari, onlajn misjuba aktar minn 1.2 miljun host li jaċċettaw talbiet permezz tal-protokoll AJP.

Il-vulnerabbiltà teżisti fil-protokoll AJP, u mhux imsejħa żball fl-implimentazzjoni. Minbarra li jaċċetta konnessjonijiet permezz HTTP (port 8080), Apache Tomcat awtomatikament jippermetti aċċess għal applikazzjoni tal-web permezz tal-protokoll AJP (Protokoll Apache Jserv, port 8009), li huwa analogu binarju ta 'HTTP ottimizzat għal prestazzjoni ogħla, normalment użat meta jinħoloq cluster ta' servers Tomcat jew biex titħaffef l-interazzjoni ma 'Tomcat fuq proxy invers jew bilanċjar tat-tagħbija.

AJP jipprovdi funzjoni standard għall-aċċess ta 'fajls fuq is-server, li tista' tintuża, inkluż il-kisba ta 'fajls li mhumiex soġġetti għal żvelar. L-AJP suppost tkun aċċessibbli biss għal servers ta' fiduċja, iżda fil-fatt il-konfigurazzjoni default ta' Tomcat mexxiet il-handler fuq l-interfaces tan-netwerk kollha u aċċettat talbiet mingħajr awtentikazzjoni. Aċċess huwa possibbli għal kwalunkwe fajl ta' applikazzjoni tal-web, inkluż il-kontenut ta' WEB-INF, META-INF u kwalunkwe direttorju ieħor ipprovdut permezz ta' sejħa lil ServletContext.getResourceAsStream(). AJP jippermettilek ukoll li tuża kwalunkwe fajl f'direttorji aċċessibbli għall-applikazzjoni tal-web bħala script JSP.

Il-problema ilha tidher minn meta l-fergħa Tomcat 13.x ħarġet 6-il sena ilu. Minbarra l-problema Tomcat innifsu taffettwa u prodotti li jużawha, bħal Red Hat JBoss Web Server (JWS), JBoss Enterprise Application Platform (EAP), kif ukoll applikazzjonijiet tal-web awtonomi li jużaw Ibbutjar tar-Rebbiegħa. Vulnerabilità simili (CVE-2020-1745) rigal fis-server tal-web Undertow, użat fis-server tal-applikazzjoni Wildfly. F'JBoss u Wildfly, AJP huwa attivat awtomatikament biss fi profili standalone-full-ha.xml, standalone-ha.xml u ha/full-ha fid-domain.xml. Fi Spring Boot, l-appoġġ AJP huwa diżattivat awtomatikament. Bħalissa, gruppi differenti ħejjew aktar minn tużżana eżempji ta' ħidma ta' sfruttamenti (
1,
2,
3,
4,
5,
6,
7,
8,
9,
10,
11).

Vulnerabbiltà ffissata fir-rilaxxi ta' Tomcat 9.0.31, 8.5.51 и 7.0.100 (manutenzjoni tal-fergħa 6.x imwaqqaf). Tista' ssegwi d-disponibbiltà tal-aġġornamenti f'kits ta' distribuzzjoni f'dawn il-paġni: Debian, Ubuntu, RHEL, Fedora, suse, FreeBSD. Bħala soluzzjoni, tista' tiddiżattiva s-servizz tal-Konnettur Tomcat AJP (torbot socket tas-smigħ ma' localhost jew tikkummenta l-linja bil-port tal-Konnettur = "8009") jekk ma tkunx meħtieġa, jew stabbilit aċċess awtentikat bl-użu tal-attributi "sigriet" u "indirizz", jekk is-servizz jintuża biex jinteraġixxi ma 'servers u prokuri oħra bbażati fuq mod_jk u mod_proxy_ajp (mod_cluster ma jappoġġjax l-awtentikazzjoni).

Sors: opennet.ru