#آسیب‌پذیری جدید #GhostCat با شدت بحرانی بر روی سرورهای Apache Tomcat تاثیر می‌گذارد. در این گزارش به بررسی این آسیب‌پذیری می‌پردازیم.
اگر وب سروری روی Apache Tomcat اجرا می‌شود، باید برای جلوگیری از کنترل غیرمجاز هکرها، فوراً به آخرین نسخه موجود آن ارتقا داده شود. همه‌ی نسخه‌های (9.x/8.x/7.x/6.x) منتشر شده در 13 سال گذشته در Apache Tomcat، نسبت به آسیب‌پذیری « file read and inclusion» با شدت بحرانی (CVSS 9.8) آسیب‌پذیر هستند که امکان بهره‌برداری از آن در صورتی که پیکربندی پیش‌فرض تغییر نکرده باشد وجود دارد.این موضوع از آن جهت قابل توجه است که چندین بهره‌برداری از این آسیب‌پذیری در اینترنت منتشر شده است و دسترسی مهاجمان به وی سرورهای آسیب‌پذیر را از همیشه آسان‌تر می‌سازد.
این آسیب‌پذیری موسوم به GhostCat و با شناسه CVE-2020-1938 به مهاجمان اجازه میدهد که بدون نیاز به احراز هویت به محتوای هر فایل موجود در سرورهای آسیب‌پذیر دسترسی پیدا کنند، فایل‌های پیکربندی حساس یا سورس کد را بدست آورند، یا اگر سرور اجازه آپلود فایل دهد، کد دلخواه خود را اجرا کنند.
آسیب‌پذیری GhostCat چیست و چگونه کار می‌کند؟
به گفته محققان در شرکت چینی Chaitin Tech، این آسیب‌پذیری در پروتکل AJP در نرم افزار Apache Tomcat وجود دارد که از مدیریت نادرست یک attribute ناشی می‌شود. اگر سایت به کاربران اجازه آپلود فایل دهد، مهاجم ابتدا می‌تواند با آپلود یک اسکریپت کد مخرب JSP به سرور (فایل آپلود شده می‌تواند از نوع تصاویر، فایل‌های متنی ساده و غیره باشد)، آن را به GhostCat آلوده کند که در نهایت می‌تواند منجر به اجرای کد از راه دور شود.
پروتکل Apache JServ(AJP) در اصل یک نسخه بهینه شده از پروتکل HTTP است که به Tomcat امکان برقراری ارتباط با یک وب سرور Apache را میدهد.
هک Apache Tomcat
پروتکل AJP به طور پیش فرض فعال است و به پورت TCP 8009 گوش میدهد، که محدود به آدرس IP 0.0.0.0 است و فقط مشتریان غیر قابل اعتماد می‌توانند از راه دور از آن بهره‌برداری کنند.
بر اساس موتور جستجو onyphe (مربوط به داده‌های هوش تهدید سایبری و متن باز)، بیش از 170،000 دستگاه وجود دارد که در زمان نوشتن یک AJP Connector از طریق اینترنت، در معرض دید همه قرار می‌گیرند.
نسخه های Tomcat تحت تاثیر
• Apache Tomcat 9.x < 9.0.31
• Apache Tomcat 8.x < 8.5.51
• Apache Tomcat 7.x < 7.0.100
• Apache Tomcat 6.x
وصله کردن آسیب‌پذیری Apache Tomcat
محققان Chaitin این نقص را در ماه گذشته به پروژه Apache Tomcat گزارش کردند و اکنون نسخه‌های 9.0.31، 8.5.51 و 7.0.100 از Apache Tomcat برای وصله کردن این آسیب‌پذیری منتشر شده است.
آخرین نسخه منتشر شده از این محصول دو مشکل دیگر از قاچاق (Smuggling) درخواست HTTP (CVE-2020-1935 و CVE-2019-17569) را رفع کرده‌اند.
به آدمین وب اکیداً توصیه می‌کنند که هر چه سریع‌تر نرم‌افزار خود را به روز‌رسانی کرده و هرگز پورت AJP را افشا نکنند چراکه AJP درحالیکه باید در یک شبکه قابل اعتماد ارتباط برقرار کند از طریق کانال نا‌امن ارتباط برقرار می‌کند.
کاربران باید توجه داشته باشند که در تنظیمات پیش‌فرض AJP Connector در نسخه 9.0.31 تغییراتی ایجاد شده‌است که تنظیمات پیش‌فرض را مشکل‌تر کند. احتمال دارد کاربران در به روز‌رسانی 9.0.31 یا نسخه‌های بعد از آن نیاز به ایجاد تغییرات کوچکی در تنظیمات خود داشته باشند.
اگر به دلایلی نتوانید سرور وب خود را فوراً به روز‌رسانی کنید، می‌توانید اتصال AJP را مستقیماً غیرفعال کرده یا آدرس گوش دادن آن را به localhost تغییر دهید.
منبع:
https://thehackernews.com/2020/02/ghostcat-new-high-risk-vulnerability.html
- 39