Amazon Linux 2:tomcat (ALAS-2020-1402)

critical Nessus Plugin ID 134569
新推出!Plugin 嚴重性目前使用 CVSS v3

計算 Plugin 嚴重性已更新為預設使用 CVSS v3 沒有 CVSS v3 評分的 Plugin 會回歸到以 CVSS v2 計算嚴重性。您可在設定下拉式選單中切換顯示嚴重性的喜好設定

Synopsis

遠端 Amazon Linux 2 主機缺少一個安全性更新。

描述

使用 TLS 搭配 WebSocket 用戶端時,缺少主機名稱驗證。此項現在預設為啟用。受影響的版本:Apache Tomcat 9.0.0.M1 至 9.0.9、8.5.0 至 8.5.31、8.0.0.RC1 至 8.0.52 和 7.0.35 至 7.0.88。(CVE-2018-8034) 當安全性限制定義中使用到完全對應至內容 root 的 ‘’ (空白字串) URL 模式時,Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 和 7.0.0 至 7.0.84 並未做正確的處理。這會造成條件約束被忽略。因此未經授權的使用者可存取應該受到保護的 Web 應用程式資源。只有具有空白字串之 URL 模式的安全性條件約束會受到影響。(CVE-2018-1304) 由 Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 和 7.0.0 至 7.0.84 中的 Servlet 註解定義的安全性條件約束,僅在載入 Servlet 後才會套用。以此方式定義的安全性條件約束會套用到 URL 模式以及該點之下的任何 URL,因此可能會根據載入 Servlet 的順序,而沒有套用部分安全性條件約束。這可能導致向未獲存取授權的使用者洩漏資源。(CVE-2018-1305) Apache Tomcat 9.0.0.M1 至 9.0.8、8.5.0 至 8.5.31、8.0.0.RC1 至 8.0.52、7.0.41 至 7.0.88 中提供的 CORS 篩選器預設設定不安全,而且會針對所有來源啟用「supportsCredentials」。預計 CORS 篩選器的使用者將針對其環境對其進行適當設定,而非在預設組態中使用。因此,預期大多數使用者將不受此問題影響。(CVE-2018-8014) 使用 Apache JServ Protocol (AJP) 時,信任連至 Apache Tomcat 的內傳連線時請務必謹慎。例如,Tomcat 認為 AJP 連線的可信度比類似的 HTTP 連線高。如果攻擊者可利用此類連線,這些連線就會以非正常的方式遭到惡意利用。在 Apache Tomcat 9.0.0.M1 至 9.0.0.30、8.5.0 至 8.5.50 和 7.0.0 至 7.0.99 中,Tomcat 出貨時已預設啟用會接聽所有已設定 IP 位址的 AJP 連接器。非必要時,此連接器應該 (安全性指南中也建議) 停用。此弱點報告指出了允許下列狀況發生的機制:- 從 Web 應用程式任意位置傳回任意檔案 - 將 Web 應用程式中的任何檔案處理成 JSP 此外,若 Web 應用程式允許檔案上傳並將這些檔案儲存在 Web 應用程式內 (或者攻擊者可利用其他方式控制 Web 應用程式的內容),則加上將檔案處理為 JSP 的能力,即可能發生遠端程式碼執行。請務必注意,僅當非受信任使用者可存取 AJP 連接埠時,才需要執行減輕措施。若使用者希望採用深度防禦方式,並封鎖允許傳回任意檔案及以 JSP 形式執行的向量,可升級至 Apache Tomcat 9.0.31、8.5.51 或 7.0.100 或更新版本。9.0.31 版 AJP 連接器預設組態已做了一些變更,以強化預設組態。升級至 9.0.31、8.5.51 或 7.0.100 或更新版本的使用者可能需要微幅變更其組態。(CVE-2020-1938) 作為此 CVE 修正的一部分,我們在預設組態中停用 Tomcat 2019 AJP 連接器,以配合上游變更。此變更要求使用預設 Tomcat 組態 (先前 AJP 連接器為啟用狀態) 的客戶在需要時明確重新啟用連接器。亦請注意,設定時無明確位址的連接器將只會繫結至回送位址。更新 tomcat8 和 tomcat7 之前及之後來自 netstat 的輸出範例如下 (請注意,這與 tomcat7 和 tomcat8 的 AL1 和 AL2 上的狀況相同)。AL2 tomcat8.5 : before : tcp6 0 0 :::8009 :::* LISTEN 25772/java tcp6 0 0 :::8080 :::* LISTEN 25772/java tcp6 0 0 127.0.0.1:8005 :::* LISTEN 25772/java After : tcp6 0 0 :::8080 :::* LISTEN 25772/java tcp6 0 0 127.0.0.1:8005 :::* LISTEN 25772/java 若要在 Tomcat 中重新啟用 AJP 連接埠,使用者可遵循下列步驟:1) 針對 AL2 Core (tomcat7):將 /etc/tomcat/server.xml 中的下列行取消註解,並重新啟動服務 <!-- <Connector port='8009' protocol='AJP/1.3' redirectPort='8443' /> --> 2) 針對 AL2 Tomcat8.5 extra:將 /etc/tomcat/server.xml 中的下列行取消註解,並重新啟動服務 <!-- <Connector protocol='AJP/1.3' address='::1' port='8009' redirectPort='8443' /> --> 另請參閱:Apache Tomcat 版本注意事項 Tomcat 7 <a href='http://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_ 8.5.51'>Tomcat 8 RedHat <a href='https://access.redhat.com/solutions/4851251'>解決方案

解決方案

執行「yum update tomcat」以更新系統。

另請參閱

http://www.nessus.org/u?177285c3

https://alas.aws.amazon.com/AL2/ALAS-2020-1402.html

Plugin 詳細資訊

嚴重性: Critical

ID: 134569

檔案名稱: al2_ALAS-2020-1402.nasl

版本: 1.2

類型: local

代理程式: unix

已發布: 2020/3/16

已更新: 2020/3/18

相依性: ssh_get_info.nasl

風險資訊

VPR

風險因素: Critical

分數: 9.5

CVSS v2

風險因素: High

基本分數: 7.5

時間分數: 5.9

媒介: AV:N/AC:L/Au:N/C:P/I:P/A:P

時間媒介: E:POC/RL:OF/RC:C

CVSS v3

風險因素: Critical

基本分數: 9.8

時間分數: 8.8

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

時間媒介: E:P/RL:O/RC:C

弱點資訊

CPE: p-cpe:/a:amazon:linux:tomcat, p-cpe:/a:amazon:linux:tomcat-admin-webapps, p-cpe:/a:amazon:linux:tomcat-docs-webapp, p-cpe:/a:amazon:linux:tomcat-el-2.2-api, p-cpe:/a:amazon:linux:tomcat-javadoc, p-cpe:/a:amazon:linux:tomcat-jsp-2.2-api, p-cpe:/a:amazon:linux:tomcat-jsvc, p-cpe:/a:amazon:linux:tomcat-lib, p-cpe:/a:amazon:linux:tomcat-servlet-3.0-api, p-cpe:/a:amazon:linux:tomcat-webapps, cpe:/o:amazon:linux:2

必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list

可被惡意程式利用: true

可輕鬆利用: Exploits are available

修補程式發佈日期: 2020/3/13

弱點發布日期: 2018/2/23

參考資訊

CVE: CVE-2018-1304, CVE-2018-1305, CVE-2018-8014, CVE-2018-8034, CVE-2020-1938

ALAS: 2020-1402