Осебпазирӣ дар Apache Tomcat, ки ба шумо имкон медиҳад, ки рамзи JSP-ро иваз кунед ва файлҳои веб-барнома гиред

Муҳаққиқони ширкати чинии Chaitin Tech кашф карданд осебпазирӣ (CVE-2020-1938) дар Apache tomcat, татбиқи кушодаи Java Servlet, JavaServer Pages, Java Expression Language ва технологияҳои Java WebSocket. Ба осебпазирӣ номи рамзи Ghostcat ва дараҷаи шадиди шадид (9.8 CVSS) дода шудааст. Мушкилот имкон медиҳад, ки дар конфигуратсияи пешфарз тавассути фиристодани дархост дар бандари шабакавӣ 8009 мундариҷаи ҳама гуна файлҳоро аз феҳристи замимаи веб, аз ҷумла файлҳои дорои танзимот ва рамзҳои сарчашмаи барнома хонед.

Ин осебпазирӣ инчунин имкон медиҳад, ки файлҳои дигар ба коди барнома ворид карда шаванд, ки он имкон медиҳад, ки код дар сервер иҷро карда шавад, агар барнома имкон диҳад, ки файлҳо ба сервер бор карда шаванд (масалан, ҳамлакунанда метавонад скрипти JSP-ро, ки ҳамчун тасвир пинҳон карда шудааст, тавассути шакли боркунии тасвир). Ҳамларо метавон анҷом дод, вақте ки имкони фиристодани дархост ба порти шабака бо коркарди AJP имконпазир аст. Тибқи маълумоти пешакӣ, онлайн ёфт зиёда аз 1.2 миллион мизбон дархостҳоро тавассути протоколи AJP қабул мекунанд.

осебпазирӣ дар протоколи AJP мавҷуд аст ва даъват нашудааст хато дар татбиқ. Илова ба қабули пайвастҳо тавассути HTTP (порти 8080), Apache Tomcat ба таври нобаёнӣ дастрасӣ ба барномаи веб тавассути протоколи AJP (Протоколи Apache Jserv, порт 8009), ки аналоги бинарии HTTP мебошад, ки барои иҷрои баландтар оптимизатсия шудааст, одатан ҳангоми сохтани кластери серверҳои Tomcat ё барои суръат бахшидан ба ҳамкорӣ бо Tomcat дар прокси баръакс ё мувозинати сарбор истифода мешавад.

AJP функсияи стандартиро барои дастрасӣ ба файлҳо дар сервер таъмин мекунад, ки онро метавон истифода бурд, аз ҷумла гирифтани файлҳое, ки ифшо намешаванд. Гумон меравад, ки AJP танҳо ба серверҳои боэътимод дастрас бошад, аммо дар асл конфигуратсияи пешфарзии Tomcat коркардкунандаро дар ҳама интерфейсҳои шабака иҷро мекард ва дархостҳоро бе аутентификатсия қабул мекунад. Дастрасӣ ба ҳама гуна файлҳои веб-барнома, аз ҷумла мундариҷаи WEB-INF, META-INF ва ҳама директорияҳои дигар, ки тавассути занг ба ServletContext.getResourceAsStream() дода мешавад, имконпазир аст. AJP инчунин ба шумо имкон медиҳад, ки ҳама гуна файлро дар директорияҳое, ки ба барномаи веб дастрасанд, ҳамчун скрипти JSP истифода баред.

Мушкилот пас аз он пайдо мешавад, ки филиали Tomcat 13.x, ки 6 сол пеш нашр шудааст. Илова ба худи мушкилоти Tomcat таъсир мерасонад ва маҳсулоте, ки онро истифода мебаранд, ба монанди Red Hat JBoss Web Server (JWS), JBoss Enterprise Application Platform (EAP), инчунин веб-барномаҳои мустақил, ки истифода мебаранд Мӯзаи баҳорӣ. осебпазирии шабеҳ (CVE-2020-1745) ҳозир дар сервери веб Дар зер, ки дар сервери барномаҳои Wildfly истифода мешавад. Дар JBoss ва Wildfly, AJP ба таври нобаёнӣ танҳо дар профилҳои standalone-full-ha.xml, standalone-ha.xml ва ha/full-ha дар domain.xml фаъол карда мешавад. Дар Spring Boot, дастгирии AJP бо нобаёнӣ ғайрифаъол аст. Дар айни замон, гурӯҳҳои гуногун зиёда аз даҳ намунаи кории истисмор (
1,
2,
3,
4,
5,
6,
7,
8,
9,
10,
11).

Осебӣ дар релизҳои Tomcat ислоҳ карда шудааст 9.0.31, 8.5.51 и 7.0.100 (нигоҳдории филиали 6.x қатъ карда шуд). Шумо метавонед мавҷудияти навсозиҳо дар маҷмӯаҳои тақсимотро дар ин саҳифаҳо пайгирӣ кунед: Debian, Ubuntu, RHEL, Федора, Сусус, FreeBSD. Ҳамчун як роҳи ҳал, шумо метавонед хидматрасонии Tomcat AJP Connector-ро хомӯш кунед (васлаки гӯширо ба localhost пайваст кунед ё хати бо порти Connector = "8009"ро шарҳ диҳед), агар он лозим набошад, ё ҷӯр кардан дастрасии тасдиқшуда бо истифода аз атрибутҳои "секрет" ва "адрес", агар хидмат барои ҳамкорӣ бо серверҳо ва проксиҳои дигар дар асоси mod_jk ва mod_proxy_ajp истифода шавад (mod_cluster аутентификатсияро дастгирӣ намекунад).

Манбаъ: opennet.ru