Apache Tomcat ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਜੋ JSP ਕੋਡ ਨੂੰ ਬਦਲਣ ਅਤੇ ਵੈਬ ਐਪਲੀਕੇਸ਼ਨ ਫਾਈਲਾਂ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ

ਚੀਨੀ ਕੰਪਨੀ ਚੈਟਿਨ ਟੈਕ ਦੇ ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਖੋਜ ਕੀਤੀ ਹੈ ਕਮਜ਼ੋਰੀ (CVE-2020-1938) ਵਿੱਚ ਅਪਾਚੇ ਟੋਮਕੈਟ, Java Servlet, JavaServer ਪੰਨੇ, Java ਸਮੀਕਰਨ ਭਾਸ਼ਾ ਅਤੇ Java WebSocket ਤਕਨਾਲੋਜੀਆਂ ਦਾ ਇੱਕ ਖੁੱਲਾ ਅਮਲੀਕਰਨ। ਕਮਜ਼ੋਰੀ ਨੂੰ ਕੋਡ ਨਾਮ Ghostcat ਅਤੇ ਇੱਕ ਗੰਭੀਰ ਗੰਭੀਰਤਾ ਪੱਧਰ (9.8 CVSS) ਦਿੱਤਾ ਗਿਆ ਹੈ। ਸਮੱਸਿਆ, ਡਿਫਾਲਟ ਸੰਰਚਨਾ ਵਿੱਚ, ਨੈੱਟਵਰਕ ਪੋਰਟ 8009 'ਤੇ ਇੱਕ ਬੇਨਤੀ ਭੇਜ ਕੇ, ਸੈਟਿੰਗਾਂ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਸਰੋਤ ਕੋਡਾਂ ਵਾਲੀਆਂ ਫਾਈਲਾਂ ਸਮੇਤ, ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਡਾਇਰੈਕਟਰੀ ਤੋਂ ਕਿਸੇ ਵੀ ਫਾਈਲਾਂ ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਪੜ੍ਹਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ।

ਕਮਜ਼ੋਰੀ ਹੋਰ ਫਾਈਲਾਂ ਨੂੰ ਐਪਲੀਕੇਸ਼ਨ ਕੋਡ ਵਿੱਚ ਆਯਾਤ ਕਰਨਾ ਵੀ ਸੰਭਵ ਬਣਾਉਂਦੀ ਹੈ, ਜੋ ਸਰਵਰ 'ਤੇ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ ਜੇਕਰ ਐਪਲੀਕੇਸ਼ਨ ਫਾਈਲਾਂ ਨੂੰ ਸਰਵਰ 'ਤੇ ਅੱਪਲੋਡ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ (ਉਦਾਹਰਨ ਲਈ, ਇੱਕ ਹਮਲਾਵਰ ਇੱਕ JSP ਸਕ੍ਰਿਪਟ ਨੂੰ ਇੱਕ ਚਿੱਤਰ ਦੇ ਰੂਪ ਵਿੱਚ ਅਪਲੋਡ ਕਰ ਸਕਦਾ ਹੈ। ਚਿੱਤਰ ਅੱਪਲੋਡ ਫਾਰਮ)। ਹਮਲਾ ਉਦੋਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਜਦੋਂ ਇੱਕ ਏਜੇਪੀ ਹੈਂਡਲਰ ਨਾਲ ਇੱਕ ਨੈਟਵਰਕ ਪੋਰਟ ਨੂੰ ਬੇਨਤੀ ਭੇਜਣਾ ਸੰਭਵ ਹੋਵੇ। ਸ਼ੁਰੂਆਤੀ ਅੰਕੜਿਆਂ ਅਨੁਸਾਰ, ਔਨਲਾਈਨ ਪਾਇਆ AJP ਪ੍ਰੋਟੋਕੋਲ ਦੁਆਰਾ ਬੇਨਤੀਆਂ ਨੂੰ ਸਵੀਕਾਰ ਕਰਨ ਵਾਲੇ 1.2 ਮਿਲੀਅਨ ਤੋਂ ਵੱਧ ਮੇਜ਼ਬਾਨ।

AJP ਪ੍ਰੋਟੋਕੋਲ ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਮੌਜੂਦ ਹੈ, ਅਤੇ ਨਹੀਂ ਬੁਲਾਇਆ ਗਿਆ ਲਾਗੂ ਕਰਨ ਵਿੱਚ ਗਲਤੀ। HTTP (ਪੋਰਟ 8080) ਰਾਹੀਂ ਕਨੈਕਸ਼ਨ ਸਵੀਕਾਰ ਕਰਨ ਤੋਂ ਇਲਾਵਾ, Apache Tomcat ਮੂਲ ਰੂਪ ਵਿੱਚ AJP ਪ੍ਰੋਟੋਕੋਲ ਦੁਆਰਾ ਇੱਕ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਤੱਕ ਪਹੁੰਚ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈਅਪਾਚੇ ਜੇਸਰਵ ਪ੍ਰੋਟੋਕੋਲ, ਪੋਰਟ 8009), ਜੋ ਉੱਚ ਪ੍ਰਦਰਸ਼ਨ ਲਈ ਅਨੁਕੂਲਿਤ HTTP ਦਾ ਇੱਕ ਬਾਈਨਰੀ ਐਨਾਲਾਗ ਹੈ, ਆਮ ਤੌਰ 'ਤੇ ਟੌਮਕੈਟ ਸਰਵਰਾਂ ਦਾ ਇੱਕ ਕਲੱਸਟਰ ਬਣਾਉਣ ਵੇਲੇ ਜਾਂ ਰਿਵਰਸ ਪ੍ਰੌਕਸੀ ਜਾਂ ਲੋਡ ਬੈਲੈਂਸਰ 'ਤੇ ਟੋਮਕੈਟ ਨਾਲ ਗੱਲਬਾਤ ਨੂੰ ਤੇਜ਼ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ।

AJP ਸਰਵਰ 'ਤੇ ਫਾਈਲਾਂ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਲਈ ਇੱਕ ਮਿਆਰੀ ਫੰਕਸ਼ਨ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ, ਜਿਸਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ, ਜਿਸ ਵਿੱਚ ਉਹਨਾਂ ਫਾਈਲਾਂ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰਨਾ ਸ਼ਾਮਲ ਹੈ ਜੋ ਖੁਲਾਸੇ ਦੇ ਅਧੀਨ ਨਹੀਂ ਹਨ। AJP ਨੂੰ ਸਿਰਫ਼ ਭਰੋਸੇਯੋਗ ਸਰਵਰਾਂ ਲਈ ਪਹੁੰਚਯੋਗ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ, ਪਰ ਅਸਲ ਵਿੱਚ ਟੋਮਕੈਟ ਦੀ ਡਿਫੌਲਟ ਕੌਂਫਿਗਰੇਸ਼ਨ ਨੇ ਹੈਂਡਲਰ ਨੂੰ ਸਾਰੇ ਨੈਟਵਰਕ ਇੰਟਰਫੇਸਾਂ ਤੇ ਚਲਾਇਆ ਅਤੇ ਪ੍ਰਮਾਣਿਕਤਾ ਤੋਂ ਬਿਨਾਂ ਬੇਨਤੀਆਂ ਨੂੰ ਸਵੀਕਾਰ ਕੀਤਾ। ਕਿਸੇ ਵੀ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਫਾਈਲਾਂ ਤੱਕ ਪਹੁੰਚ ਸੰਭਵ ਹੈ, ਜਿਸ ਵਿੱਚ WEB-INF, META-INF ਅਤੇ ServletContext.getResourceAsStream() ਨੂੰ ਇੱਕ ਕਾਲ ਦੁਆਰਾ ਪ੍ਰਦਾਨ ਕੀਤੀਆਂ ਗਈਆਂ ਹੋਰ ਡਾਇਰੈਕਟਰੀਆਂ ਸ਼ਾਮਲ ਹਨ। AJP ਤੁਹਾਨੂੰ ਇੱਕ JSP ਸਕ੍ਰਿਪਟ ਦੇ ਰੂਪ ਵਿੱਚ ਵੈਬ ਐਪਲੀਕੇਸ਼ਨ ਲਈ ਪਹੁੰਚਯੋਗ ਡਾਇਰੈਕਟਰੀਆਂ ਵਿੱਚ ਕਿਸੇ ਵੀ ਫਾਈਲ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਵੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ।

ਇਹ ਸਮੱਸਿਆ 13 ਸਾਲ ਪਹਿਲਾਂ ਜਾਰੀ ਹੋਈ Tomcat 6.x ਬ੍ਰਾਂਚ ਦੇ ਬਾਅਦ ਤੋਂ ਦਿਖਾਈ ਦੇ ਰਹੀ ਹੈ। ਟੋਮਕੈਟ ਦੀ ਸਮੱਸਿਆ ਤੋਂ ਇਲਾਵਾ ਪ੍ਰਭਾਵਿਤ ਕਰਦਾ ਹੈ ਅਤੇ ਉਤਪਾਦ ਜੋ ਇਸਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ, ਜਿਵੇਂ ਕਿ Red Hat JBoss Web Server (JWS), JBoss ਐਂਟਰਪ੍ਰਾਈਜ਼ ਐਪਲੀਕੇਸ਼ਨ ਪਲੇਟਫਾਰਮ (EAP), ਅਤੇ ਨਾਲ ਹੀ ਸਵੈ-ਨਿਰਮਿਤ ਵੈਬ ਐਪਲੀਕੇਸ਼ਨ ਜੋ ਵਰਤਦੇ ਹਨ ਬਸੰਤ ਬੂਟ. ਸਮਾਨ ਕਮਜ਼ੋਰੀ (CVE-2020-1745) ਮੌਜੂਦ ਵੈੱਬ ਸਰਵਰ ਵਿੱਚ ਹੇਠਾਂ ਉਤਰੋ, Wildfly ਐਪਲੀਕੇਸ਼ਨ ਸਰਵਰ ਵਿੱਚ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। JBoss ਅਤੇ Wildfly ਵਿੱਚ, AJP ਸਿਰਫ਼ domain.xml ਵਿੱਚ standalone-full-ha.xml, standalone-ha.xml ਅਤੇ ha/full-ha ਪ੍ਰੋਫਾਈਲਾਂ ਵਿੱਚ ਮੂਲ ਰੂਪ ਵਿੱਚ ਸਮਰਥਿਤ ਹੈ। ਬਸੰਤ ਬੂਟ ਵਿੱਚ, AJP ਸਮਰਥਨ ਮੂਲ ਰੂਪ ਵਿੱਚ ਅਯੋਗ ਹੈ। ਵਰਤਮਾਨ ਵਿੱਚ, ਵੱਖ-ਵੱਖ ਸਮੂਹਾਂ ਨੇ ਸ਼ੋਸ਼ਣ ਦੀਆਂ ਇੱਕ ਦਰਜਨ ਤੋਂ ਵੱਧ ਕਾਰਜਸ਼ੀਲ ਉਦਾਹਰਣਾਂ ਤਿਆਰ ਕੀਤੀਆਂ ਹਨ (
1,
2,
3,
4,
5,
6,
7,
8,
9,
10,
11).

ਟੋਮਕੈਟ ਰੀਲੀਜ਼ਾਂ ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਫਿਕਸ ਕੀਤੀ ਗਈ ਹੈ 9.0.31, 8.5.51 и 7.0.100 (6.x ਸ਼ਾਖਾ ਦਾ ਰੱਖ-ਰਖਾਅ ਬੰਦ). ਤੁਸੀਂ ਇਹਨਾਂ ਪੰਨਿਆਂ 'ਤੇ ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨ ਕਿੱਟਾਂ ਵਿੱਚ ਅੱਪਡੇਟ ਦੀ ਉਪਲਬਧਤਾ ਨੂੰ ਟਰੈਕ ਕਰ ਸਕਦੇ ਹੋ: ਡੇਬੀਅਨ, ਉਬਤੂੰ, RHEL, ਫੇਡੋਰਾ, SUSE, ਫ੍ਰੀਸਬੈਡ. ਇੱਕ ਹੱਲ ਵਜੋਂ, ਤੁਸੀਂ ਟੋਮਕੈਟ ਏਜੇਪੀ ਕਨੈਕਟਰ ਸੇਵਾ ਨੂੰ ਅਯੋਗ ਕਰ ਸਕਦੇ ਹੋ (ਲੋਕਲਹੋਸਟ ਨਾਲ ਸੁਣਨ ਵਾਲੇ ਸਾਕਟ ਨੂੰ ਬੰਨ੍ਹੋ ਜਾਂ ਕਨੈਕਟਰ ਪੋਰਟ = "8009" ਨਾਲ ਲਾਈਨ ਨੂੰ ਟਿੱਪਣੀ ਕਰੋ) ਜੇਕਰ ਇਸਦੀ ਲੋੜ ਨਹੀਂ ਹੈ, ਜਾਂ ਸਥਾਪਤ "ਗੁਪਤ" ਅਤੇ "ਪਤਾ" ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਪ੍ਰਮਾਣਿਤ ਪਹੁੰਚ, ਜੇਕਰ ਸੇਵਾ ਨੂੰ mod_jk ਅਤੇ mod_proxy_ajp (mod_cluster ਪ੍ਰਮਾਣੀਕਰਨ ਦਾ ਸਮਰਥਨ ਨਹੀਂ ਕਰਦਾ) 'ਤੇ ਆਧਾਰਿਤ ਦੂਜੇ ਸਰਵਰਾਂ ਅਤੇ ਪ੍ਰੌਕਸੀਆਂ ਨਾਲ ਇੰਟਰੈਕਟ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ।

ਸਰੋਤ: opennet.ru