安全资讯|所有版本的Apache Tomcat都受到Ghostcat漏洞的影响

Apache Tomcat的所有版本都受到名为Ghostcat的漏洞的影响，攻击者可以利用该漏洞读取配置文件或在易受攻击的服务器上安装后门程序。

该漏洞跟踪为CVE-2020-1938，影响到Tomcat AJP协议，并由中国网络安全公司Chaitin Tech发现。

Apache JServ Protocol（AJP）是一种二进制协议，可以将来自Web服务器的入站请求代理到位于Web服务器后面的应用程序服务器。

“ Ghostcat是Chaitin Tech安全研究人员发现的Tomcat中的一个严重漏洞。 由于Tomcat AJP协议存在缺陷，攻击者可以读取Tomcat的webapp目录中的文件或将其包含在其中。” 说明描述问题的网站。 “例如，攻击者可以阅读webapp配置文件或源代码。 另外，如果目标Web应用程序具有文件上传功能，则攻击者可能会通过Ghostcat漏洞利用文件包含来在目标主机上执行恶意代码。”

Tomcat Connector允许Tomcat连接到外部，它使Catalina能够接收来自外部的请求，将它们传递到相应的Web应用程序进行处理，然后返回请求的响应结果。

默认情况下，Tomcat使用两个连接器，即HTTP连接器和AJP连接器，后者侦听服务器的端口8009。

AJP中的Ghostcat漏洞可被利用来向Tomcat服务器读取文件或将文件写入Tomcat服务器，攻击者可能会触发该漏洞来访问配置文件并窃取密码或API令牌。 它还可以使攻击者将文件（包括恶意软件或Web Shell）写入服务器。

“通过利用Ghostcat漏洞，攻击者可以读取Tomcat上部署的所有Web应用程序的配置文件和源代码文件的内容。” 继续分析。

“此外，如果网站应用程序允许用户上传文件，则攻击者可以先将包含恶意JSP脚本代码的文件上传到服务器（上传的文件本身可以是任何类型的文件，例如图片，纯文本文件等。） ，然后利用Ghostcat漏洞包含上载的文件，最终可能导致远程执行代码。”

受Ghostcat漏洞影响的Tomcat版本有：

• Apache Tomcat 9.x < 9.0.31
• Apache Tomcat 8.x < 8.5.51
• Apache Tomcat 7.x < 7.0.100
• Apache Tomcat 6.x

Chaitin专家于1月初发现了该漏洞，然后帮助Apache Tomcat项目的维护者解决了该问题。

Chaitin还发布了适用于Tomcat 7.x，Tomcat 8.x和Tomcat 9.x的安全补丁程序，还发布了XRAY扫描程序的更新程序，以查找易受攻击的Tomcat服务器。

在公开披露Ghostcat问题后，立即有几位专家向GitHub共享了概念验证漏洞利用脚本[1、2、3、4、5]。