安全研究

CVE-2020-1938:Apache Tomcat服務器任意文件讀取/包含漏洞通告

0x00  漏洞編号

CVE-2020-1938

CNVD-2020-10487 


0x01 漏洞概述

Tomcat是由Apache軟件基金會(huì)屬下Jakarta項目開(kāi)發(fā)的Servlet容器,按照Sun Microsystems提供的技術規範,實現了對(duì)Servlet和JavaServer Page(JSP)的支持。由于Tomcat本身也内含了HTTP服務器,因此也可以視作單獨的Web服務器。

AJP協議是Tomcat爲了動靜資源處理分離時,通過(guò)該協議可以將(jiāng)css、js等靜态資源請求轉發(fā)到Apache的http服務器處理,提高并發(fā)量。

而本次漏洞被(bèi)稱作 Ghostcat(幽靈貓),其産生的原因是由于AJP 協議存在實現缺陷導緻相關參數可控,攻擊者通過(guò)AJP協議端口利用該漏洞進(jìn)行文件讀取或包含Tomcat上所有 webapp 目錄下的任意文件,如Webapp 配置文件、源代碼等。 


0x02 漏洞詳情

Tomcat默認配置(conf/server.xml)中開(kāi)啓2個Connector,一個是8080端口對(duì)外提供HTTP協議,另一個是8009 端口對(duì)外提供AJP協議,兩(liǎng)個端口默認開(kāi)啓。

在接收到AJP請求的時候,發(fā)現java/org/apache/coyote/ajp/AjpProcessor.java中的 prepareRequest() 函數的功能(néng)是對(duì) AJP 協議進(jìn)行解析,可以發(fā)現在處理 Constants.SC_A_REQ_ATTRIBUTE這(zhè)部分内容時,代碼中未進(jìn)行内容校驗,就(jiù)將(jiāng)AJP裡(lǐ)面(miàn)的内容取出來設置成(chéng)request對(duì)象的Attribute屬性。因此,我們可以修改AJP請求的屬性,進(jìn)而控制request對(duì)象的下面(miàn)三個Attribute屬性,實現文件讀取。


0x03 影響版本

Tomcat 6.*
Tomcat 7.* < 7.0.100
Tomcat 8.* < 8.5.51
Tomcat 9.* < 9.0.31


0x04 自檢測試

1.在web管理頁面(miàn)左上方可查看當前所使用的Tomcat版本,若當前版本在受影響範圍内,則可能(néng)存在安全風險。
2. Github上已經(jīng)出現在野漏洞Poc,可以用該Poc測試是否存在漏洞,更加準确。地址https://github.com/YDHCUI/CNVD-2020-10487-Tomcat-Ajp-lfi(注意:python版本爲2.x,如果使用python3需要更改部分代碼)


0x05 處置建議

1.官方已發(fā)布針對(duì)此漏洞的修複方案,Tomcat 6 已經(jīng)停止維護:
https://tomcat.apache.org/download70.cgi
https://tomcat.apache.org/download80.cgi
https://tomcat.apache.org/download-90.cgi
2.臨時處置方法:

爲AJP Connector配置secret來設置 AJP 協議的認證憑證(注意必須將(jiāng)YOUR_TOMCAT_AJP_SECRET更改爲一個安全性高、無法被(bèi)輕易猜解的值)。

3. 未使用AJP協議的臨時處置方法:

禁用AJP協議端口,在conf/server.xml配置文件中注釋,并重啓Tomcat服務。


0x06 時間線

2020/01/03:長(cháng)亭科技向(xiàng) Apache Tomcat 官方提交漏洞

2020/02/11:Apache Tomcat 官方發(fā)布 9.0.31、8.5.51 安全更新版本

2020/02/14:Apache Tomcat 官方發(fā)布 7.0.100 安全更新版本

2020/02/20:CNVD 發(fā)布安全通告

2020/02/20:長(cháng)亭科技發(fā)布漏洞風險提示

 

0x07 參考鏈接

https://www.cnvd.org.cn/webinfo/show/5415

https://github.com/YDHCUI/CNVD-2020-10487-Tomcat-Ajp-lfi

https://github.com/Kit4y/CNVD-2020-10487-Tomcat-Ajp-lfi-Scanner



Copyright © 2019 All Rights Reserved Designed
杭州梵汐網絡科技有限公司