CVE-2020-1938

КритическийОпубликовано

Уязвимость некорректного управления привилегиями в Apache Tomcat

Опубликовано: 24 февр. 2020 г.
Обновлено: 21 окт. 2025 г.
Назначение CNA: apache
Наблюдены доказательства: 20 февр. 2020 г.

Первичный CVSS

9,8/ 10Критический

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Оценка вероятности EPSS

99,3 %

Высокий · следующие 30 дней

Процентиль: 99,9 %
Дата модели: 21 сент. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

CISA Известно, что эксплуатация

Эта CVE присутствует в каталоге известных эксплуатируемых уязвимостей CISA.

Резюме

При использовании протокола Apache JServ (AJP) необходимо проявлять осторожность, доверяя входящим соединениям с Apache Tomcat. Tomcat рассматривает AJP-соединения как имеющие более высокий уровень доверия, чем, например, аналогичное HTTP-соединение. Если такие соединения доступны злоумышленнику, они могут быть использованы способами, которые могут оказаться неожиданными. В Apache Tomcat 9.0.0.M1–9.0.0.30, 8.5.0–8.5.50 и 7.0.0–7.0.99 Tomcat поставлялся с включённым по умолчанию AJP-коннектором, который прослушивал все настроенные IP-адреса. Предполагалось (и рекомендовалось в руководстве по безопасности), что этот коннектор будет отключён, если он не требуется. В данном отчёте об уязвимости выявлен механизм, который позволял: - возвращать произвольные файлы из любого места веб-приложения - обрабатывать любой файл в веб-приложении как JSP. Кроме того, если веб-приложение разрешало загрузку файлов и сохраняло эти файлы внутри веб-приложения (или злоумышленник мог управлять содержимым веб-приложения каким-либо иным способом), то это вместе с возможностью обрабатывать файл как JSP делало возможным удалённое выполнение кода. Важно отметить, что меры по смягчению требуются только в том случае, если порт AJP доступен недоверенным пользователям. Пользователи, желающие применить подход эшелонированной защиты и заблокировать вектор, который позволяет возвращать произвольные файлы и выполнять их как JSP, могут обновить Apache Tomcat до версии 9.0.31, 8.5.51 или 7.0.100 или более поздней. В версии 9.0.31 было внесено несколько изменений в конфигурацию AJP-коннектора по умолчанию для усиления стандартной конфигурации. Вероятно, пользователям, обновляющимся до 9.0.31, 8.5.51 или 7.0.100 или более поздних версий, придётся внести небольшие изменения в свои конфигурации.

Источники

CVE-2020-1938_Ghostcat-PoCЭксплойт
Apache Tomcat AJP Ghostcat (CVE-2020-1938) — инструмент эксплуатации для раскрытия файлов с возможностью сканирования множества целей, использования собственных списков слов и обнаружения точек загрузки

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.