Vulnerabilidades do Oracle Health Sciences Empirica Signal

Ao usar o Apache JServ Protocol (AJP), é preciso ter cuidado ao confiar em conexões recebidas para o Apache Tomcat. O Tomcat trata conexões AJP como tendo confiança maior do que, por exemplo, uma conexão HTTP semelhante. Se tais conexões estiverem disponíveis para um atacante, elas podem ser exploradas de formas que podem ser surpreendentes. Nas versões do Apache Tomcat de 9.0.0.M1 até 9.0.0.30, de 8.5.0 até 8.5.50 e de 7.0.0 até 7.0.99, o Tomcat era distribuído com um conector AJP habilitado por padrão, que escutava em todos os endereços IP configurados. Esperava-se (e recomendava-se no guia de segurança) que esse conector fosse desabilitado caso não fosse necessário. Este relatório de vulnerabilidade identificou um mecanismo que permitia: - retornar arquivos arbitrários de qualquer ponto da aplicação web - processar qualquer arquivo da aplicação web como JSP. Além disso, se a aplicação web permitisse upload de arquivos e armazenasse esses arquivos dentro da própria aplicação web (ou se o atacante conseguisse controlar o conteúdo da aplicação web por algum outro meio), então isso, junto com a capacidade de processar um arquivo como JSP, tornava possível a execução remota de código. É importante notar que a mitigação só é necessária se uma porta AJP estiver acessível a usuários não confiáveis. Usuários que desejem adotar uma abordagem de defesa em profundidade e bloquear o vetor que permite retornar arquivos arbitrários e a execução como JSP podem atualizar para o Apache Tomcat 9.0.31, 8.5.51 ou 7.0.100 ou posterior. Foram feitas várias alterações na configuração padrão do conector AJP na versão 9.0.31 para reforçar a configuração padrão. É provável que usuários que atualizarem para 9.0.31, 8.5.51 ou 7.0.100 ou posterior precisem fazer pequenas alterações em suas configurações.