CVE-2020-1938

Apache JServ Protocol (AJP) kullanılırken, Apache Tomcat'e gelen bağlantılara güvenilirken dikkatli olunmalıdır. Tomcat, AJP bağlantılarını örneğin benzer bir HTTP bağlantısına göre daha yüksek güven düzeyinde değerlendirir. Bu tür bağlantılar bir saldırgan tarafından erişilebilir olursa, şaşırtıcı yollarla istismar edilebilirler. Apache Tomcat 9.0.0.M1 ile 9.0.0.30, 8.5.0 ile 8.5.50 ve 7.0.0 ile 7.0.99 sürümlerinde Tomcat, yapılandırılmış tüm IP adreslerini dinleyen ve varsayılan olarak etkinleştirilmiş bir AJP Connector ile birlikte sunulmuştur. Gereksinim duyulmaması durumunda bu Connector'ün devre dışı bırakılması bekleniyordu (ve güvenlik kılavuzunda öneriliyordu). Bu zafiyet raporu şu imkanları sağlayan bir mekanizma tanımlamıştır: - Web uygulamasının herhangi bir yerinden rastgele dosyaların döndürülmesi - Web uygulamasındaki herhangi bir dosyanın JSP olarak işlenmesi Ayrıca, eğer web uygulaması dosya yüklemeye izin veriyor ve bu dosyaları web uygulaması içinde saklıyorsa (veya saldırgan başka bir yolla web uygulamasının içeriğini kontrol edebiliyorsa), bu durum bir dosyanın JSP olarak işlenebilme yeteneğiyle birleştiğinde uzaktan kod çalıştırmayı mümkün kılmıştır. Azaltım önlemlerinin yalnızca bir AJP portunun güvenilmeyen kullanıcılar için erişilebilir olduğu durumlarda gerekli olduğunu belirtmek önemlidir. Derinlemesine savunma yaklaşımı benimsemek isteyen ve rastgele dosyaların döndürülmesine ve JSP olarak çalıştırılmasına izin veren vektörü engellemek isteyen kullanıcılar; Apache Tomcat 9.0.31, 8.5.51 veya 7.0.100 ya da daha yeni sürümlere yükseltebilirler. Varsayılan yapılandırmayı sıkılaştırmak amacıyla 9.0.31 sürümünde varsayılan AJP Connector yapılandırmasında bir dizi değişiklik yapılmıştır. 9.0.31, 8.5.51 veya 7.0.100 ya da daha yeni sürümlere yükselten kullanıcıların yapılandırmalarında küçük değişiklikler yapmaları gerekecektir.