Ghostcat, Apache Tomcat uygulama sunucusunun AJP (Apache JServ Protocol) bağlayıcısında 2020’de açıklanan bir zafiyettir. AJP, Tomcat’in bir ön uç web sunucusuyla hızlı iletişim kurmak için kullandığı ikili bir protokoldür ve varsayılan olarak 8009 portunda dinler. Zafiyet, bu protokol üzerinden gönderilen isteklerin özniteliklerinin yeterince kısıtlanmamasından kaynaklanır.

Ghostcat, Tomcat’in AJP bağlayıcısına gönderilen isteklerin dosya yolu özniteliklerini denetlemedeki eksiklik nedeniyle uygulama dizinindeki dosyaların okunmasına yol açan bir zafiyettir.

Kusur Nasıl İşliyor?

AJP protokolü, isteğe belirli öznitelikler ekleyerek Tomcat’e bir isteğin hangi dosyayı işleyeceğini söyleyebilir. Ghostcat’te saldırgan bu öznitelikleri elle biçimlendirerek Tomcat’i, web köküne değil uygulamanın iç dizinlerine bakmaya yönlendirir. Bu yolla WEB-INF altındaki yapılandırma dosyaları okunabilir; bu dosyalar sıklıkla veritabanı kimlik bilgileri ve oturum ayarları içerdiğinden ele geçirilen bilgi, sonraki saldırı adımları için değerli bir kaynaktır. Bu tür yol denetimi zayıflıklarının erken tespiti, uygulamanın canlıya çıkmadan sınandığı bir web uygulama sızma testi ile mümkün olur.

Okumadan Kod Çalıştırmaya

Ghostcat tek başına bir dosya okuma zafiyeti gibi görünse de, uygulamanın dosya yüklemesine izin verdiği durumlarda daha ileri gidebilir. Saldırgan, sunucuya zararlı içeriği taşıyabildiği bir yol bulduğunda, AJP öznitelik manipülasyonuyla bu dosyanın çalıştırılacak bir sayfa olarak yorumlanmasını sağlayabilir. Böyle bir zincir kurulduğunda dosya okuma yeteneği kod çalıştırmaya dönüşür ve etkisi ciddi biçimde büyür.

Kimler Etkilenir?

Risk büyük ölçüde AJP portunun erişilebilirliğiyle orantılıdır. AJP yalnızca yerel bir ön uç sunucuyla konuşmak için tasarlandığından, internete açık olması zaten yanlış bir yapılandırmadır. Ne var ki birçok kurulum bu portu farkında olmadan dış dünyaya bıraktı; bu da uygulama dizinlerinden veri sızdırma için doğrudan bir kapı oluşturdu.

Korunma Adımları

Öncelikli çözüm, Ghostcat’i kapatan Tomcat sürümlerine geçmektir; güncel sürümler AJP için gizli anahtar zorunluluğu ve öznitelik kısıtlaması getirir. Buna paralel olarak AJP kullanılmıyorsa bağlayıcının tümüyle devre dışı bırakılması, kullanılıyorsa 8009 portunun yalnızca güvenilen ön uç sunucuya açılması gerekir. Bu güncellemelerin envanterdeki tüm örneklere ulaşması ise düzenli bir yama yönetimi sürecine bağlıdır.

WEB-INF dosyalarına erişim izleri veya beklenmedik AJP trafiği görülen bir sunucuda, hangi yapılandırma dosyalarının okunmuş ve bu bilgiyle nereye ilerlenmiş olabileceğinin araştırılması gerekir. Bu kapsamın çıkarılması için olay inceleme ve olay müdahalesi çalışması, sızdırılmış kimlik bilgilerinin yenilenmesi gereken noktaları da belirler.