一、漏洞背景
近日，国内安全公司长亭科技披露一个在 Tomcat 中潜伏十多年的安全漏洞——Ghostcat （幽灵猫），其编号为 CVE-2020-1938 。
据悉，Ghostcat（幽灵猫）由长亭科技安全研究员发现，它是存在于 Tomcat 中的安全漏洞。
由于 Tomcat AJP 协议设计上存在缺陷，攻击者通过 Tomcat AJP Connector 可以读取或包含 Tomcat 上所有 webapp 目录下的任意文件，例如可以读取 webapp 配置文件或源代码。
Tomcat Connector 是 Tomcat 与外部连接的通道，它使得 Catalina 能够接收来自外部的请求，传递给对应的 Web 应用程序处理，并返回请求的响应结果。默认情况下，Tomcat 配置了两个 Connector，它们分别是 HTTP Connector 和 AJP Connector。
安全公告编号：CNTA-2020-0004
2020年02月20日， 360CERT 监测发现 国家信息安全漏洞共享平台(CNVD) 收录了 CNVD-2020-10487 Apache Tomcat文件包含漏洞。
CNVD-2020-10487/CVE-2020-1938是文件包含漏洞，攻击者可利用该高危漏洞读取或包含 Tomcat 上所有 webapp 目录下的任意文件，如：webapp 配置文件或源代码等。
受影响的版本包括：Tomcat 6，Tomcat 7的7.0.100以下版本，Tomcat 8的8.5.51以下版本，Tomcat 9的9.0.31以下版本。
CNVD 对该漏洞的综合评级为“高危”。
二、影响版本
1、Apache Tomcat 9.x < 9.0.31
2、Apache Tomcat 8.x < 8.5.51
3、Apache Tomcat 7.x < 7.0.100
4、Apache Tomcat 6.x
三、漏洞分析
3.1 AJP Connector
3.2 代码分析
3.3 任意文件读取
3.4 命令执行
四、修复建议
长亭科技提示：对于处在漏洞影响版本范围内的 Tomcat 而言，若其开启 AJP Connector 且攻击者能够访问 AJP Connector 服务端口的情况下，即存在被 Ghostcat 漏洞利用的风险。
并且，Tomcat AJP Connector 默认配置下即为开启状态，且监听在 0.0.0.0:8009。
要正确修复 Ghostcat 漏洞，首先要确定服务器环境中是否有用到 Tomcat AJP 协议：
如果未使用集群或反向代理，则基本上可以确定没有用到 AJP；
如果使用了集群或反向代理，则需要看集群或反代服务器是否与 Tomcat 服务器 AJP 进行通信
早在 1 月初，长亭科技向 Apache Tomcat 官方提交漏洞。
目前，Tomcat 官方已经发布 9.0.31、8.5.51 及 7.0.100 版本针对此漏洞进行修复。因此，建议 Tomcat 用户尽快升级到最新版本。
| Tomcat 分支 | 版本号 |
|---|---|
| Tomcat 7 | 7.0.0100 |
| Tomcat 8 | 8.5.51 |
| Tomcat 9 | 9.0.31 |
下载链接如下：
7.0.100版本：https://tomcat.apache.org/download-70.cgi