CVE-2020-1938

Apache JServ Protocol (AJP) istifadə edərkən, Apache Tomcat-ə gələn bağlantılara etibar edilməsi zamanı ehtiyatlı olmaq lazımdır. Tomcat, AJP bağlantılarını, məsələn, oxşar bir HTTP bağlantısına nisbətən daha yüksək etibarlı hesab edir. Əgər belə bağlantılar hücumçunun əlçatanlığında olsa, onlar gözlənilməz yollarla istismar edilə bilər. Apache Tomcat 9.0.0.M1-dən 9.0.0.30-a, 8.5.0-dan 8.5.50-ə və 7.0.0-dan 7.0.99-a qədər olan versiyalarda Tomcat, bütün konfiqurasiya edilmiş IP ünvanlarında dinləməni həyata keçirən və standart olaraq aktiv edilmiş AJP Connector ilə tədarük olunub. Gözlənilirdi ki (və təhlükəsizlik bələdçisində tövsiyə olunurdu), bu Connector tələb olunmadıqda deaktiv edilsin. Bu zəiflik hesabatı aşağıdakıları mümkün edən mexanizmi müəyyən etmişdir: - veb tətbiqin hər hansı yerindən ixtiyari faylların qaytarılması - veb tətbiqdəki hər hansı faylın JSP kimi emal edilməsi. Bundan əlavə, əgər veb tətbiq fayl yükləməyə icazə verirdisə və həmin faylları veb tətbiqin daxilində saxlayırdısa (və ya hücumçu digər vasitələrlə veb tətbiqin məzmununu idarə edə bildiyi halda), bu, faylın JSP kimi emal edilməsi imkanı ilə birlikdə uzaqdan kodun icrasını mümkün edirdi. Qeyd etmək vacibdir ki, tədbirlər yalnız AJP portu etibarsız istifadəçilər üçün əlçatandırsa tələb olunur. Dərin müdafiə yanaşmasını tətbiq etmək və ixtiyari faylların qaytarılmasına və JSP kimi icraya imkan verən vektoru bloklamaq istəyən istifadəçilər Apache Tomcat 9.0.31, 8.5.51 və ya 7.0.100 və ya daha yeni versiyalara yüksəldə bilərlər. Standart konfiqurasiyanı gücləndirmək üçün 9.0.31 versiyasında standart AJP Connector konfiqurasiyasında bir sıra dəyişikliklər edilmişdir. Ehtimal olunur ki, 9.0.31, 8.5.51 və ya 7.0.100 və ya daha yeni versiyalara yüksələn istifadəçilərin öz konfiqurasiyalarında kiçik dəyişikliklər etməli olacaqlar.