过去13年中发布的Apache Tomcat服务器容易受到名为Ghostcat的漏洞的攻击，该漏洞可能允许黑客接管未打补丁的系统。
由中国网络安全公司Chaitin Tech发现的Ghostcat是Tomcat AJP协议中的缺陷。
AJP代表Apache JServ协议，它是二进制格式的HTTP协议的性能优化版本。Tomcat使用AJP与附近的Apache HTTPD Web服务器或其他Tomcat实例交换数据。
Tomcat的AJP连接器默认在所有Tomcat服务器上启用，并在服务器的端口8009上侦听。
GHOSTCAT可以窃取配置，工厂后门
Chaitin研究人员说，他们在AJP中发现了一个漏洞，可以利用该漏洞读取文件或将文件写入Tomcat服务器。
例如，黑客可以读取应用程序配置文件并窃取密码或API令牌，或者可以将文件写入服务器（例如后门或Web Shell）（只有在Tomcat服务器上托管的任何应用程序允许，Ghostcat的“写”攻击才可能发生）用户上传文件）。
至少可以说，Ghostcat漏洞广泛。它会影响所有6.x，7.x，8.x和9.x Tomcat分支。Apache Tomcat 6.x于2007年2月发布，这意味着过去13年中发布的所有Tomcat版本都应视为容易受到攻击。
Chaitin的研究人员说，他们已在今年1月初发现了该错误，并与Apache Tomcat项目一起工作，以便在公开之前准备好补丁程序。
已发布针对Tomcat 7.x，Tomcat 8.x和Tomcat 9.x分支的修复程序，但未针对6.x分支发布修复程序，后者已于2016年停产。Chaitin团队还发布了对其XRAY工具的更新，以便它可以扫描网络以查看是否存在易受攻击的Tomcat服务器。
GITHUB上有多个演示漏洞利用
Ghostcat漏洞标识符为CVE-2020-1938和CNVD-2020-10487（在中国内部使用）。
根据BinaryEdge搜索，当前有超过一百万个Tomcat服务器在线可用。
每能成立，验证的概念代码[ 1，2，3，4，5 ]用于测试或启动上周的bug的公开披露后，在GitHub上增殖Ghostcat攻击。
根据Snyk的说法，基于Spring Boot Java框架构建的应用程序也容易受到攻击，因为它们附带了预先包含的Tomcat服务器。对于Red Hat，Tomcat还附带了其他基于Java的框架和服务器，例如JBossWeb和JBoss EAP。
红帽建议禁用Tomcat中的AJP连接器（如果不使用）或将其绑定到本地主机端口，因为大多数AJP的使用是在群集环境中，并且没有严格的访问控制列表，绝不能在互联网上公开8009端口。
*编译：Domino
*来自：ZDNET