| Разработчики: | Apache Software Foundation (ASF) |
| Дата премьеры системы: | 1999/06/15 |
| Дата последнего релиза: | 2020/02/29 |
| Технологии: | Серверные платформы |
Содержание |
Apache Tomcat - контейнер сервлетов с открытым исходным кодом.
2020: Уязвимость Ghostcat, позволяющая перехватить управление системой
29 февраля 2020 года стало известно о том, что в сервере приложений Apache Tomcat обнаружена серьезная уязвимость, позволяющая перехватить управление уязвимыми системами. Проблема, получившая название Ghostcat, затрагивает все версии Apache Tomcat, выпущенные за последние 13 лет.
По информации компании, уязвимость содержится в протоколе Apache JServ Protocol (AJP) - двоичном протоколе, обеспечивающем передачу входящих запросов с web-сервера до сервера приложений. AJP коннектор по умолчанию включен на всех серверах Tomcat и слушает порт 8009.
По словам специалистов китайской компании Chaitin, Ghostcat (CVE-2020-1938, CNVD-2020-10487) может использоваться для чтения/записи файлов на сервер Tomcat. К примеру, атакующие могут получить доступ к конфигурационным файлам приложения и украсть пароли либо записать файлы на сервер (бэкдоры, web-шеллы и т. д.). Последнее возможно только в том случае, если какое-либо приложение на сервере разрешает загрузку файлов.
Уязвимости подвержены следующие ветки Apache Tomcat:
- Apache Tomcat 9.x < 9.0.31
- Apache Tomcat 8.x < 8.5.51
- Apache Tomcat 7.x < 7.0.100
- Apache Tomcat 6.x
Корректирующие обновления на февраль 2020 года доступны для релизов Tomcat 7.x , Tomcat 8.x , и Tomcat 9.x , за исключением ветки 6.x, поддержка которой была прекращена в 2016 году. Согласно результатам поиска BinaryEdge, на февраль 2020 года в Сети доступно более миллиона Tomcat-серверов. Кроме того, с момента публикации информации о проблеме на GitHub уже появился ряд PoC-кодов [ 1 , 2 , 3 , 4 , 5 ] для тестирования и осуществления атак Ghostcat [1].
2015: Описание Apache Tomcat
Продукт исполняет спецификацию сервлетов, спецификацию JavaServer Pages (JSP) и JavaServer Faces (JSF). Написан на языке Java.
Tomcat позволяет запускать веб-приложения, содержит ряд программ для самоконфигурирования.
Скриншот окна страницы сервера Tomcat, 2013
Сервер используется в качестве самостоятельного веб-сервера, в качестве сервера контента в сочетании с веб-сервером Apache HTTP Server, в качестве контейнера сервлетов в серверах приложений JBoss и GlassFish.
Разработку и поддержку Tomcat ведет фонд Apache Software Foundation и добровольцы. Пользователи имеют свободный доступ к исходным кодам и бинарным файлам Tomcat согласно лицензии Apache License 2.0. Номера версий Tomcat начинаются с 3.0.x (предыдущие версии Sun выпустила для внутреннего пользования).
Примечания
| Заказчик | Интегратор | Год | Проект |
|---|---|---|---|
| - Центр системы мониторинга рыболовства и связи (ЦСМС) | ФОРС - Центр разработки | 2018.03 |  |
| - Пенсионный Фонд России (ПФР) | R-Style (Эр-Стайл) ГК | --- | |
Подрядчики-лидеры по количеству проектов
Softline (Софтлайн) (89) X-Com (Икс ком) (57) Крок (35) Инфосистемы Джет (34) Астерос (34) Другие (1100) X-Com (Икс ком) (10) Softline (Софтлайн) (6) Крикунов и Партнеры Бизнес Системы (КПБС, KPBS, Krikunov & Partners Business Systems) (5) Крок (4) Delta Computers (Дельта Компьютерс) (3) Другие (53) Крикунов и Партнеры Бизнес Системы (КПБС, KPBS, Krikunov & Partners Business Systems) (3) Мобильные ТелеСистемы (МТС) (3) Почта России (2) Селектел (Selectel) (2) КРУГ НПФ (1) Другие (24)Распределение вендоров по количеству проектов внедрений (систем, проектов) с учётом партнёров
Lenovo Data Center Group (1, 6) Lenovo (1, 6) SOTI (1, 3) КНС Групп (Yadro) (1, 3) Bull (Atos IT Solutions And Services) (2, 2) Другие (18, 20) Селектел (Selectel) (1, 2) Aerodisk (Аеро Диск) (1, 1) Delta Solutions (Дельта Солюшнс) (1, 1) Lenovo (1, 1) Softline (Софтлайн) (1, 1) Другие (7, 7) Аладдин Р.Д. (Aladdin R.D.) (1, 2) Dell EMC (1, 1) Delta Solutions (Дельта Солюшнс) (1, 1) Inferit (Инферит) (1, 1) Lenovo Data Center Group (1, 1) Другие (8, 8) КНС Групп (Yadro) (1, 3) TrueConf (Труконф) (1, 2) Content AI (Контент ИИ) (1, 2) AirBit (АирБит) (1, 1) Fplus (Ф-Плюс оборудование и разработки) ранее F+ tech (1, 1) Другие (5, 5)Распределение базовых систем по количеству проектов, включая партнерские решения (проекты, партнерские проекты)
IBM Power Systems - 35 (13, 22) Microsoft Active Directory - 32 (32, 0) Dell EMC PowerEdge - 23 (11, 12) Oracle Exadata Database Machine - 21 (21, 0) Oracle WebLogic Server - 20 (20, 0) Другие 278 Lenovo ThinkSystem - 6 (6, 0) IBM Power8 - 3 (0, 3) Soti Mobicontrol - 3 (3, 0) IBM Power Systems - 2 (1, 1) Ngenix Облачная платформа - 2 (2, 0) Другие 9 Selectel Выделенные серверы - 2 (2, 0) Альт Сервер - 1 (1, 0) HPE Apollo 4000 Серверы - 1 (1, 0) Delta Solutions: Tioga Pass Серверы с архитектурой Open Compute Project (OCP) - 1 (1, 0) Серверы Ситроникс - 1 (1, 0) Другие 4 JaCarta Authentication Server (JAS) - 2 (2, 0) Delta Solutions: Tioga Pass Серверы с архитектурой Open Compute Project (OCP) - 1 (1, 0) Dell EMC PowerEdge - 1 (0, 1) IBM Power8 - 1 (0, 1) SharxBase - 1 (1, 0) Другие 2 IBM Power8 - 3 (0, 3) Trueconf MCU (Multipoint Control Unit) - 2 (2, 0) ContentReader Server - 2 (2, 0) RDW Computers Серверы - 1 (1, 0) Инферит Серверы - 1 (1, 0) Другие 0 
