Fa'aletonu i Apache Tomcat e mafai ai ona suitulaga JSP code ma maua faila i luga ole laiga

Ua maua e tagata suʻesuʻe mai le kamupani Saina Chaitin Tech vaivai (CVE-2020-1938) i Apache Tomcat, o se faʻatinoga tatala o Java Servlet, JavaServer Pages, Java Expression Language ma Java WebSocket tekinolosi. O le faʻafitauli ua tuʻuina atu i ai le igoa faʻailoga Ghostcat ma se tulaga ogaoga (9.8 CVSS). O le faʻafitauli e mafai ai, i le faʻaogaina o le faʻaogaina, e ala i le tuʻuina atu o se talosaga i luga o le upega tafaʻilagi 8009, e faitau ai mea o loʻo i totonu o soʻo se faila mai le lisi o talosaga i luga o le initaneti, e aofia ai faila ma faʻatonuga ma tulafono faʻapipiʻi.

O le faʻafitauli e mafai ai foʻi ona faʻauluina isi faila i totonu o le tusi talosaga, lea e faʻatagaina ai le faʻatinoina o code i luga o le 'auʻaunaga pe a fai e faʻatagaina e le talosaga faila e tuʻuina atu i luga o le 'auʻaunaga (mo se faʻataʻitaʻiga, e mafai e se tagata osofaʻi ona tuʻuina atu se tusitusiga JSP faʻafoliga o se ata e ala i le fomu fa'apipi'i ata). E mafai ona faia le osofaʻiga pe a mafai ona tuʻuina atu se talosaga i se taulaga fesoʻotaʻiga ma se tagata e faʻaaogaina le AJP. E tusa ai ma faʻamatalaga muamua, luga ole laiga maua sili atu i le 1.2 miliona 'au e talia talosaga e ala i le AJP protocol.

O loʻo iai le faʻafitauli i le protocol AJP, ma le valaauina sese i le faatinoga. I le faaopoopo atu i le taliaina o fesoʻotaʻiga e ala i le HTTP (taulaga 8080), Apache Tomcat e le mafai ona faʻatagaina le avanoa i se upega tafaʻilagi e ala i le AJP protocol (Apache Jserv Protocol, port 8009), o se analogue binary o HTTP optimized mo galuega maualuga, e masani ona faʻaaogaina pe a fatuina se fuifui o Tomcat servers poʻo le faʻavavevave fegalegaleaiga ma Tomcat i luga o se sui sui poʻo le paleni uta.

AJP e tuʻuina atu se galuega masani mo le faʻaogaina o faila i luga o le 'auʻaunaga, lea e mafai ona faʻaaogaina, e aofia ai le mauaina o faila e le o faʻaalia. O le AJP e tatau ona maua naʻo tagata faʻatuatuaina, ae o le mea moni o le faʻaogaina o Tomcat na faʻatautaia le faʻatautaia i luga o fesoʻotaʻiga fesoʻotaiga uma ma talia talosaga e aunoa ma le faʻamaonia. E mafai ona maua so'o se faila talosaga i luga o le upega tafa'ilagi, e aofia ai mea o lo'o i totonu o le WEB-INF, META-INF ma so'o se isi fa'atonuga e tu'uina atu e ala i le telefoni i ServletContext.getResourceAsStream(). E fa'atagaina fo'i e le AJP ona fa'aoga so'o se faila i totonu o fa'atonuga e mafai ona maua e le upegatafa'ilagi e fai ma tusitusiga a le JSP.

O le faʻafitauli ua faʻaalia talu mai le tatalaina o le Tomcat 13.x lala 6 tausaga talu ai. I le faaopoopo atu i le faafitauli Tomcat lava ia afaina ma oloa o loʻo faʻaaogaina, e pei o le Red Hat JBoss Web Server (JWS), JBoss Enterprise Application Platform (EAP), faʻapea foʻi ma faʻaoga i luga ole laiga e faʻaogaina. Tautotogo tautotogo. Fa'apena fa'aletonu (CVE-2020-1745) taimi nei i totonu o le upega tafailagi Faigofie, faʻaaogaina i le Wildfly application server. I le JBoss ma le Wildfly, o le AJP e mafai ona fa'aletonu na'o le tuto'atasi-full-ha.xml, standalone-ha.xml ma ha/full-ha fa'amatalaga i le domain.xml. I le Spring Boot, ua fa'aletonu le lagolago a le AJP ona o le faaletonu. I le taimi nei, ua saunia e vaega eseese le sili atu ma le luasefulu faʻataʻitaʻiga galue o faʻaoga (
1,
2,
3,
4,
5,
6,
7,
8,
9,
10,
11).

Fa'afitauli fa'aletonu i fa'asalalauga Tomcat 9.0.31, 8.5.51 и 7.0.100 (tausia o le lala 6.x fa'agata). E mafai ona e siaki le avanoa o fa'afouga i pusa tufatufa i itulau nei: Debian, Ubuntu, RHEL, Fedora, SAUNI, FreeBSD. I le avea ai o se fofo, e mafai ona e faʻamalo le Tomcat AJP Connector service (faʻafesoʻotaʻi se faʻalogo faʻalogo i localhost pe faʻamatala le laina ma Connector port = "8009") pe a le manaʻomia, poʻo seti avanoa faʻamaonia e faʻaaoga ai uiga o le "mea faalilolilo" ma le "tuatusi", pe a faʻaogaina le tautua e fegalegaleai ai ma isi 'auʻaunaga ma sui faʻavae i luga o mod_jk ma mod_proxy_ajp (mod_cluster e le lagolagoina le faʻamaoni).

puna: opennet.ru