CVE-2020-1938

Quando si utilizza il Apache JServ Protocol (AJP), è necessario prestare attenzione quando si affidano le connessioni in ingresso ad Apache Tomcat. Tomcat tratta le connessioni AJP come aventi un livello di fiducia superiore rispetto, ad esempio, a una connessione HTTP simile. Se tali connessioni sono accessibili a un attaccante, possono essere sfruttate in modi che potrebbero risultare sorprendenti. In Apache Tomcat 9.0.0.M1 fino a 9.0.0.30, 8.5.0 fino a 8.5.50 e 7.0.0 fino a 7.0.99, Tomcat veniva distribuito con un AJP Connector abilitato di default che ascoltava su tutti gli indirizzi IP configurati. Era previsto (e raccomandato nella guida sulla sicurezza) che questo connettore fosse disabilitato se non necessario. Questo rapporto di vulnerabilità ha identificato un meccanismo che consentiva: - di restituire file arbitrari da qualsiasi posizione all’interno dell’applicazione web - di processare qualsiasi file dell’applicazione web come JSP Inoltre, se l’applicazione web consentiva il caricamento di file e memorizzava tali file all’interno dell’applicazione web (o se l’attaccante fosse stato in grado di controllare il contenuto dell’applicazione web con altri mezzi), ciò, unito alla possibilità di processare un file come JSP, rendeva possibile l’esecuzione remota di codice. È importante notare che la mitigazione è richiesta solo se una porta AJP è accessibile a utenti non affidabili. Gli utenti che desiderano adottare un approccio di difesa in profondità e bloccare il vettore che permette di restituire file arbitrari ed eseguire come JSP possono aggiornare a Apache Tomcat 9.0.31, 8.5.51 o 7.0.100 o versioni successive. In 9.0.31 sono state apportate diverse modifiche alla configurazione predefinita del AJP Connector per rafforzare la configurazione di default. È probabile che gli utenti che aggiornano a 9.0.31, 8.5.51 o 7.0.100 o versioni successive debbano apportare piccole modifiche alle proprie configurazioni.