URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 119933
[ Назад ]
Исходное сообщение
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено opennews , 29-Фев-20 22:47 
Исследователи из китайской компании Chaitin Tech выявили уязвимость (CVE-2020-1938) в Apache Tomcat, открытой реализации технологий Java Servlet, JavaServer Pages, Java Expression Language и Java WebSocket. Уязвимости присвоено кодовое имя Ghostcat и критический уровень опасности (9.8 CVSS). Проблема позволяет в конфигурации по умолчанию через отправку запроса по сетевому порту 8009 прочитать содержимое любых файлов из каталога web-приложения, в том числе файлов с настройками и исходных текстов приложения...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=52459

Содержание
Сообщения в этом обсуждении
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено Аноним , 29-Фев-20 22:47 
> AJP

Хорошую вещь АЖЭПЭ не назовут.

"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено Аноним , 29-Фев-20 22:58 
>Подразумевается, что доступ к AJP открыт только для доверенных серверов, но на деле в конфигурации по умолчанию Tomcat осуществлялся запуск обработчика на всех сетевых интерфейсах

Небезопасна конфигурация по-умолчанию бэкдором называется.

"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено пох. , 29-Фев-20 23:02 
эксперты опеннета...

"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено Аноним , 29-Фев-20 23:57 
Что не так? Сделать конфигурацию по-умолчанию небезопасной - это гарантированный способ заиметь небезопасные установки при массовом использовании софта. Это очевидно. А потом нагибать.

Это как в сборку винды вставить радмин, активировать и настроить его по-умолчанию под удаленный доступ и выложить на торренты. Можно сказать, что пользователи сами виноваты, что качают и ставят и используют что попало ... но факта того, что при массовом использовании этой сборки будут установки с радмином, это не меняет.

"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено лютый жабби , 01-Мрт-20 06:58 
>Что не так?

Ты не так.

Порт 8009 надо ещё на фаеволе открыть, а уже лет так 15 принято "открываем то, что нужно", а не "закрываем то, что ненужно".

Проверил, госуслуги и наложку - на всех есно эксплоиты не работают. Ну ок, пусть в инете остаются 1.2млн васян страниц проектов, у которых даже админа нет. Там небось в 95% и содержимого нет кроме дефолтной index.jsp.

"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено КО , 01-Мрт-20 07:50 
"Проверил, госуслуги и наложку - на всех есно эксплоиты не работают"
Эти нет
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено macfaq , 01-Мрт-20 09:44 
> Порт 8009 надо ещё на фаеволе открыть, а уже лет так 15 принято "открываем то, что нужно", а не "закрываем то, что ненужно".

А ты юморист.

"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено Аноним , 01-Мрт-20 22:46 
почему?
если закрыть все входящие порты кроме 2-3х нужных глупые "уязвимости" вроде этой и memcached открытого всем, тебя не коснутся.
Даже если случайно не уследишь за чем-то, всё равно соединиться не смогут.
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено Аноним , 01-Мрт-20 11:51 
К вам ещё не приехали?
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено Аноним , 01-Мрт-20 10:40 
Это обычная уязвимость, примерно 100% дефолтных конфигураций так выглядят. В интернете во всех гайдах тоже всегда предлагают биндить на все интерфейсы, потом имеем что имеем.
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено And , 01-Мрт-20 22:05 
Да как-то всегда netstat -antpu
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено And , 01-Мрт-20 22:06 
И тупить на результат до устранения 0.0.0.0 из левого столбца.
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено пох. , 02-Мрт-20 07:36 
Когда у тебя там кроме 0.0.0.0 только 127.0.0.1 - можешь не тупить.

А когда ты перестанешь быть админом локалхоста - прекрасное время, когда можно было тупить в экран - кончится. На большую часть своих томкэтовых хостов ты вообще зайдешь ровно ноль раз.

А настройки - скопипастишь те, что тебе прислал разработчик. Понятия не имея, что они, заодно, включают кластерный сервис вместе с api.

"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено Gemorroj , 29-Фев-20 23:14 
но ведь жава безопасная, не то что пхп. (говорили они)
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено Аноним , 29-Фев-20 23:16 
А ты сегодня уже выполнял third-party код через выполнение file_exists() над phar:// ?
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено Аноним , 29-Фев-20 23:21 
Разве в SpringBoot ajp не надо включать отдельно?
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено neAnonim , 29-Фев-20 23:53 
Выражаю пренебрежение к java и всем завязанным на ней технологиях.
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено Java omnomnom your memory linux , 01-Мрт-20 01:21 
Есть оперативка, а если ещё осталось? Linux memory model (c)
проблемы есть у всего, так шо в этом контексте джава норм, а вообще котлин лучше
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено Аноним , 01-Мрт-20 01:26 
Как будто Kotlin-приложения под Tomcat не уязвимы к данной проблеме.
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено Красноглазик , 02-Мрт-20 19:22 
здесь этой проблемы нет, котлин в вебе мертв.
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено Аноним , 01-Мрт-20 13:45 
> Оперативка есть? А если найду?! (c) java memory model.
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено Junker , 01-Мрт-20 16:45 
Оперативка есть?... А если найду? (с)
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено Красноглазик , 02-Мрт-20 18:54 
А что не так собственно с java, только хочется нормальной критики, а не вроде *амно много памяти жрет и всё в таком духе.
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено Ээээ , 03-Мрт-20 17:04 
После 8-ки вразнос пошла. Все эти попытки псевдо-функционалку приколотить гвоздями. Получилось даже хуже, чем с обобщениями.
А так, вполне норм. Хорошо изучена, хорошо документирована, обширное сообщество (и даже иногда вполне знающие и адекватные представители в нём попадаются).
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено Аноним , 01-Мрт-20 00:10 
Пофиг, как будто найдётся такой идиот, кто выставит этот порт наружу
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено Аномном , 01-Мрт-20 06:32 
1.2 млн идиотов
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено Аноним , 01-Мрт-20 14:11 
Ничтожная доля всех вообще существующих идиотов, имеющих компьютеры.
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено neAnonim , 01-Мрт-20 15:24 
но существенная среди тех, кто зарабатывает разработкой софта
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено пох. , 02-Мрт-20 07:39 
они обычно сами томкэтов не ставят, если только на своем локалхосте, где оно как раз вполне безопастно. Ставят задачу девляпсу - "развернуть двадцать томкэтов в amazon cloud".
И готовый шаблон ему, найденый на stackoveflow где-то рядом с тем кодом, который они якобы-разработали.

А тот про tomcat вообще знает примерно ничего.

"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено лютый жабби , 01-Мрт-20 06:42 
НОВОСТЬ БЕЗГРАМОТНО СОСТАВЛЕНА.

В wildfly ajp надо:
1. руками включить
2. открыть порт 8009

на 1.2млн дырявых жаб с васян-проектами или пустой заглушкой, есть 120 млн дырявых пыхов с васян-страничками. кому они нужны?

"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено Аноним , 01-Мрт-20 08:13 
В некоторых профилях он включён по умолчанию: "The AJP connector is enabled by default only in standalone-full-ha.xml, standalone-ha.xml and ha and full-ha profiles in domain.xml."
"Уязвимость в Apache Tomcat, позволяющая подставить JSP-код и..."
Отправлено КО , 01-Мрт-20 07:52 
"начиная с выпущенной 13 лет назад"
Вот на чем шантаж основывают всякие кулхацкеры. Когда их методы палят - ищут другие.