ืจืขืกืขืึทืจืืฉืขืจืก ืคืื ืื ืืื ืขืืืฉ ืคืืจืืข Chaitin Tech ืืึธืื ืืืกืงืึทืืืขืจื () ืืื , ืึทื ืึธืคึฟื ืืืคึผืืึทืืขื ืืืืฉืึทื ืคืื Java Servlet, JavaServer Pages, Java Expression Language ืืื Java WebSocket ืืขืงื ืึทืืึทืืืฉืื. ืื ืืืึทืื ืขืจืึทืืืืืื ืืื ืึทืกืืื ื ืื ืงืึธื ื ืึธืืขื Ghostcat ืืื ืึท ืงืจืืืืฉ ืฉืืจืขื ืืงืืึทื ืืืจืื (9.8 CVSS). ืืขืจ ืคึผืจืึธืืืขื ืึทืืึทืื, ืืื ืื ืคืขืืืงืืึทื ืงืึทื ืคืืืืขืจืืืฉืึทื, ืืืจื ืฉืืงื ืึท ืืงืฉื ืืืืฃ ื ืขืฅ ืคึผืึธืจื 8009, ืฆื ืืืืขื ืขื ืื ืืื ืืึทืื ืคืื ืงืืื ืืขืงืขืก ืคึฟืื ืื ืืืขื ืึทืคึผืืึทืงืืืฉืึทื ืืืขืืืืืึทืืขืจ, ืึทืจืืึทื ืืขืจืขืื ื ืืขืงืขืก ืืื ืกืขืืืื ืืก ืืื ืึทืคึผืืึทืงืืืฉืึทื ืืงืืจ ืงืึธืืื.
ืื ืืืึทืื ืขืจืึทืืืืืื ืืืื ืืืื ืขืก ืืขืืืขื ืฆื ืึทืจืืึทื ืคืืจ ืื ืืขืจืข ืืขืงืขืก ืืื ืื ืึทืคึผืืึทืงืืืฉืึทื ืงืึธื, ืืืึธืก ืึทืืึทืื ืงืึธื ืืืจืืคืืจืื ื ืืืืฃ ืื ืกืขืจืืืขืจ ืืืื ืื ืึทืคึผืืึทืงืืืฉืึทื ืึทืืึทืื ืืขืงืขืก ืฆื ืืืื ืืคึผืืึธืึทืืขื ืฆื ืื ืกืขืจืืืขืจ (ืืืฉื, ืึท ืึทืืึทืงืขืจ ืงืขื ืขื ืฆืืคึฟืขืืืงืขืจ ืึท JSP ืฉืจืืคื ืืืกืืืืื ืืื ืึท ืืืื ืืืจื ืื ืืืื ืืคึผืืึธืึทื ืคืึธืจืขื). ืื ืืึทืคืึทืื ืงืขื ืขื ืืืื ืืืจืืืขืงืึธืื ืืืขื ืขืก ืืื ืืขืืืขื ืฆื ืฉืืงื ืึท ืืงืฉื ืฆื ืึท ื ืขืฅ ืคึผืึธืจื ืืื ืึท AJP ืืึทื ืืืขืจ. ืืืื ืคึผืจืืืืืึทื ืขืจื ืืึทืื, ืึธื ืืืื ืืขืจ ืืื 1.2 ืืืืืึธื ืืื ืืช ืึธื ื ืขืืขื ืจืืงืืืขืก ืืืจื ืื AJP ืคึผืจืึธืืึธืงืึธื.
ืื ืืืึทืื ืขืจืึทืืืืืื ืืืืืกืฅ ืืื ืื AJP ืคึผืจืึธืืึธืงืึธื, ืืื ืืขืืช ืืื ืืืคึผืืึทืืขื ืืืืฉืึทื. ืืื ืึทืืืฉืึทื ืฆื ืึธื ื ืขืืขื ืงืึทื ืขืงืฉืึทื ื ืืืจื ืืืืคึผ (ืคึผืึธืจื 8080), Apache Tomcat ืืืจื ืคืขืืืงืืึทื ืึทืืึทืื ืึทืงืกืขืก ืฆื ืึท ืืืขื ืึทืคึผืืึทืงืืืฉืึทื ืืืจื ืื AJP ืคึผืจืึธืืึธืงืึธื (, ืคึผืึธืจื 8009), ืืืึธืก ืืื ืึท ืืืื ืขืจื ืึทื ืึทืืึธื ืคืื ืืืืคึผ ืึธืคึผืืืืืืขื ืคึฟืึทืจ ืืขืืขืจ ืคืึธืจืฉืืขืืื ื, ืืืืฉืึทืืืึทืื ืืขื ืืฆื ืืืขื ืงืจืืืืืื ื ืึท ืงื ืืื ืคืื Tomcat ืกืขืจืืืขืจืก ืึธืืขืจ ืฆื ืคืึทืจืืืืขืจื ืื ืืขืจืึทืงืฉืึทื ืืื Tomcat ืืืืฃ ืึท ืคืึทืจืงืขืจื ืคึผืจืึทืงืกื ืึธืืขืจ ืืึทืกืข ืืึทืืึทื ืกืขืจ.
AJP ืืื ืึท ื ืึธืจืืึทื ืคืื ืงืฆืืข ืคึฟืึทืจ ืึทืงืกืขืก ืืขืงืขืก ืืืืฃ ืื ืกืขืจืืืขืจ, ืืืึธืก ืงืขื ืขื ืืืื ืืขืืืืื ื, ืึทืจืืึทื ืืขืจืขืื ื ืงืจืืื ืืขืงืขืก ืืืึธืก ืืขื ืขื ื ืืฉื ืืื ืืขืจืืขื ืืง ืฆื ืึทื ืืคึผืืขืงืื ื. AJP ืืื ืืขืืืื ื ืฆื ืืืื ืฆืืืจืืืืขื ืืืืื ืคึฟืึทืจ ืืจืึทืกืืื ืกืขืจืืืขืจืก, ืึธืืขืจ ืืื ืคืึทืงื, ืื ืคืขืืืงืืึทื ืงืึทื ืคืืืืขืจืืืฉืึทื ืคืื Tomcat ืืื ืืืืคื ืื ืืึทื ืืืขืจ ืืืืฃ ืึทืืข ื ืขืฅ ืื ืืขืจืคืืืกืื ืืื ืื ืืขื ืืืขื ืจืืงืืืขืก ืึธื ืึธืืขื ืืึทืงืืืฉืึทื. ืึทืงืกืขืก ืืื ืืขืืืขื ืฆื ืงืืื ืืืขื ืึทืคึผืืึทืงืืืฉืึทื ืืขืงืขืก, ืึทืจืืึทื ืืขืจืขืื ื ืื ืืื ืืึทืื ืคืื WEB-INF, META-INF ืืื ืงืืื ืื ืืขืจืข ืืืจืขืงืืขืจืื ืฆืืืขืฉืืขืื ืืืจื ืึท ืจืืคื ืฆื ServletContext.getResourceAsStream(). AJP ืืืื ืึทืืึทืื ืืืจ ืฆื ื ืืฆื ืงืืื ืืขืงืข ืืื ืืืจืขืงืืขืจืื ืฆืืืจืืืืขื ืฆื ืื ืืืขื ืึทืคึผืืึทืงืืืฉืึทื ืืื ืึท JSP ืฉืจืืคื.
ืืขืจ ืคึผืจืึธืืืขื ืืื ืืจืืืก ืืื ื ืื Tomcat 13.x ืฆืืืืึทื ืืืคืจืืื 6 ืืึธืจ ืฆืืจืืง. ืืื ืืขืจืฆื ืฆื ืื Tomcat ืคึผืจืึธืืืขื ืืื ืืื ืคึผืจืึธืืืงืื ืืืึธืก ื ืืฆื ืขืก, ืึทืืึท ืืื Red Hat JBoss Web Server (JWS), JBoss Enterprise Application Platform (EAP), ืืื ืืขืืื ื-ืงืึทื ืืืื ื ืืืขื ืึทืคึผืืึทืงืืืฉืึทื ื ืืืึธืก ื ืืฆื . ืขื ืืขืืข ืืืึทืื ืขืจืึทืืืืืื (CVE-2020-1745) ืืื ืื ืืืขื ืกืขืจืืืขืจ , ืืขืืืืื ื ืืื ืื Wildfly ืึทืคึผืืึทืงืืืฉืึทื ืกืขืจืืืขืจ. ืืื JBoss ืืื Wildfly, AJP ืืื ืขื ืืืืึทืื ืืืจื ืคืขืืืงืืึทื ืืืืื ืืื ืกืืึทื ืืึทืืึธื ืข-full-ha.xml, ืกืืึทื ืืึทืืึธื ืข-ha.xml ืืื ha/full-ha ืคึผืจืึธืืคืืืื ืืื domain.xml. ืืื ืคืจืืืื ื ืฉืืืืื, AJP ืฉืืืฆื ืืื ืคืึทืจืงืจืืคึผืื ืืืจื ืคืขืืืงืืึทื. ืืขืจืืืืึทื, ืคืึทืจืฉืืืขื ืข ืืจืืคึผืขืก ืืึธืื ืฆืืืขืืจืืื ืืขืจ ืืื ืึท ืืืฅ ืืจืืขืื ืืืืฉืคืืื ืคืื ืขืงืกืคึผืืืืฅ (
,
,
,
,
,
,
,
,
,
,
).
ืืืึทืื ืขืจืึทืืืืืื ืคืึทืจืคืขืกืืืงื ืืื Tomcat ืจืืืืกืื , ะธ (ืืืฉืึทืื ืคืื ืื 6.x ืฆืืืืึทื ). ืืืจ ืงืขื ืขื ืฉืคึผืืจ ืื ืึทืืืืืืึทืืืืึทืื ืคืื ืืขืจืืืึทื ืืืงืื ืืขื ืืื ืคืึทืจืฉืคึผืจืืืืื ื ืงืืฅ ืืืืฃ ืื ืืืขืืขืจ: , , , , , . ืืื ืึท ืืืึธืจืงืึทืจืึธืื ื, ืืืจ ืงืขื ืขื ืืืกืืืืึทื ืื Tomcat AJP ืงืึทื ืขืงืืขืจ ืืื ืกื (ืืื ืื ืึท ืฆืืืขืืขืจื ืืึธืืขื ืฆื ืืึธืงืึทืืืึธืกื ืึธืืขืจ ืืึทืืขืจืงื ืื ืฉืืจื ืืื ืงืึทื ืขืงืืขืจ ืคึผืึธืจื = "8009") ืืืื ืขืก ืืื ื ืื ืืืจืฃ, ืึธืืขืจ ืึธืืขื ืืึทืงืืืืื ืึทืงืกืขืก ื ืืฆื ืื "ืกืื" ืืื "ืึทืืจืขืก" ืึทืืจืืืืืฅ, ืืืื ืื ืกืขืจืืืืก ืืื ืืขื ืืฆื ืฆื ืื ืืขืจืึทืงื ืืื ืื ืืขืจืข ืกืขืจืืืขืจืก ืืื ืคึผืจืึทืงืกืื ืืืืืจื ืืืืฃ mod_jk ืืื mod_proxy_ajp (ืืึธื_ืงืืึทืกืืขืจ ืฉืืืฆื ื ืืฉื ืึธืืขื ืืึทืงืืืฉืึทื).
ืืงืืจ: opennet.ru