په اپاچي ټامکټ کې زیانمنتیا چې تاسو ته اجازه درکوي د JSP کوډ ځای په ځای کړئ او د ویب غوښتنلیک فایلونه ترلاسه کړئ

د چینایي شرکت چایټین ټیک څیړونکو کشف کړی زیانمنتیا (CVE-2020-1938) کې اپاپي ټامټټد Java Servlet، JavaServer Pages، Java Expression Language او Java WebSocket ټیکنالوژیو خلاص تطبیق. زیانمنتیا ته د کوډ نوم Ghostcat او د جدي شدت کچه ​​(9.8 CVSS) ټاکل شوې. ستونزه اجازه ورکوي، په ډیفالټ ترتیب کې، د شبکې پورټ 8009 ته د غوښتنې لیږلو سره، د ویب غوښتنلیک ډایرکټر څخه د هر ډول فایلونو مینځپانګې لوستل، په شمول د ترتیباتو او غوښتنلیک سرچینې کوډونو فایلونه.

زیانمنتیا د دې امکان هم رامینځته کوي چې د غوښتنلیک کوډ کې نورې فایلونه وارد کړي ، کوم چې په سرور کې د کوډ اجرا کولو ته اجازه ورکوي که چیرې غوښتنلیک سرور ته فایلونو ته د اپلوډ کولو اجازه ورکړي (د مثال په توګه ، برید کونکی کولی شي د JSP سکریپټ اپلوډ کړي چې د عکس په حیث پټ شوی وي. د انځور پورته کولو فورمه). برید هغه وخت ترسره کیدی شي کله چې د AJP هینډلر سره د شبکې پورټ ته غوښتنه لیږل ممکن وي. د لومړنیو معلوماتو له مخې، آنلاین موندل له 1.2 ملیون څخه ډیر کوربه د AJP پروتوکول له لارې غوښتنې مني.

زیانمنتیا د AJP پروتوکول کې شتون لري، او نه بلل کیږي په تطبیق کې تېروتنه. د HTTP (پورټ 8080) له لارې د اړیکو منلو سربیره، د ډیفالټ اپاچي ټامکاټ د AJP پروتوکول له لارې ویب غوښتنلیک ته د لاسرسي اجازه ورکوي (د اپاچی Jserv پروتوکول، پورټ 8009) ، کوم چې د HTTP بائنری انلاګ دی چې د لوړ فعالیت لپاره مطلوب دی ، معمولا د Tomcat سرورونو کلستر رامینځته کولو یا د ریورس پراکسي یا بار بیلنسر کې د Tomcat سره تعامل ګړندی کولو لپاره کارول کیږي.

AJP په سرور کې فایلونو ته د لاسرسي لپاره معیاري فعالیت چمتو کوي ، کوم چې کارول کیدی شي ، پشمول د فایلونو ترلاسه کول چې د افشا کولو تابع ندي. AJP باید یوازې باوري سرورونو ته د لاسرسي وړ وي ، مګر په حقیقت کې د Tomcat ډیفالټ ترتیب د ټولو شبکې انٹرفیسونو کې هینډلر چلولی او پرته له تصدیق کولو غوښتنې منل شوي. هر ډول ویب غوښتنلیک فایلونو ته لاسرسی ممکن دی، پشمول د WEB-INF، META-INF او نورو لارښودونو منځپانګې چې ServletContext.getResourceAsStream() ته د زنګ وهلو له لارې چمتو شوي. AJP تاسو ته اجازه درکوي چې د JSP سکریپټ په توګه ویب غوښتنلیک ته د لاسرسي وړ لارښودونو کې هر فایل وکاروئ.

ستونزه د 13 کاله دمخه د Tomcat 6.x څانګې له خپریدو راهیسې څرګندیږي. پخپله د Tomcat ستونزې سربیره اغیزه کوي او هغه محصولات چې دا کاروي، لکه د Red Hat JBoss Web Server (JWS)، JBoss Enterprise Application Platform (EAP)، او همدارنګه په ځان کې شامل ویب غوښتنلیکونه چې کاروي د پسرلي بوټ. ورته زیانمنتیا (CVE-2020-1745) حاضر په ویب سرور کې لاندې، د Wildfly غوښتنلیک سرور کې کارول کیږي. په JBoss او Wildfly کې، AJP یوازې په domain.xml کې په standalone-full-ha.xml، standalone-ha.xml او ha/full-ha پروفایلونو کې د ډیفالټ لخوا فعال شوی. په پسرلي بوټ کې، د AJP ملاتړ د ډیفالټ لخوا غیر فعال دی. په اوس وخت کې، مختلفو ډلو د استثمار له درجن څخه ډیر کاري مثالونه چمتو کړي دي (
1,
2,
3,
4,
5,
6,
7,
8,
9,
10,
11).

زیانمنتیا د ټامکاټ ریلیزونو کې ټاکل شوې 9.0.31, 8.5.51 и 7.0.100 (د 6.x څانګې ساتنه بند شوی). تاسو کولی شئ پدې پاڼو کې د توزیع کټونو کې د تازه معلوماتو شتون تعقیب کړئ: Debian, د وبنټو, RHEL, فیډورا, SUSE, FreeBSD. د کار د حل په توګه، تاسو کولی شئ د Tomcat AJP نښلونکي خدمت غیر فعال کړئ (لوکل هوسټ ته د اوریدلو ساکټ وتړئ یا د نښلونکي پورټ = "8009" سره لاین تبصره کړئ) که اړتیا نه وي، یا برابرول د "پټ" او "پته" ځانګړتیاو په کارولو سره تصدیق شوی لاسرسی، که چیرې خدمت د mod_jk او mod_proxy_ajp پراساس د نورو سرورونو او پراکسيونو سره د تعامل لپاره کارول کیږي (mod_cluster د تصدیق ملاتړ نه کوي).

سرچینه: opennet.ru