☰

Apache Webサーバーリバースプロキシを介してTomcat Ghostcatを悪用することは可能ですか？

tag-icon • tag-icon security apache-httpd tomcat reverse-proxy reverse-engineering
Apache Webサーバーリバースプロキシを介してTomcat Ghostcatを悪用することは可能ですか？

Apache Webサーバーのリバースプロキシ設定でGhostcatのバグが悪用される可能性があるかどうか疑問に思います。

これが私たちのWebサーバー構成です。

<VirtualHost *:80>
ServerName 192.168.178.1    
ProxyPass / ajp://127.0.0.1:8009/sample/ 
ProxyPassReverse "^/(.*)" /sample/
ProxyPassReverseCookiePath /sample/ /
</VirtualHost>

GitHubでいくつかのエクスプロイトを試してみましたが、合格しているようです。Apache JServプロトコルリバースプロキシ（80）を介さずに直接ポート（8009）。これは、リバースプロキシの背後で実行されるアプリケーションが安全であることを意味しますか？

それとも、ApacheはすべてのトラフィックをAJPに転送するため、脆弱性が悪用される可能性がありますか？

また、時には単純なRewriteRuleを使用してAJPにリダイレクトします。

RewriteRule / ajp://127.0.0.1:8009/sample/ [P]

どちらがより安全ですか？

答え1

CVE-2020-1938は、リバースプロキシを介して悪用することはできず、AJPポートに直接接続しなければ悪用できません。

関連情報