Java serverlarida Jolokia agentining noto’g’ri konfiguratsiyasi veb-saytlarni xavf ostiga qo’yadi

Muammo bir nechta yirik veb-saytlarga, jumladan, banklar va moliyaviy xizmatlar kompaniyalariga tegishli veb-saytlarga ta’sir ko’rsatdi.

Xavfsizlik bo’yicha tadqiqotchi Mat Mannionning so’zlariga ko’ra, Java veb-serveridagi noto’g’ri konfiguratsiya qilingan Jolokia komponenti hujumchilarga zaif veb-saytga kiberhujum uyushtirishga imkon beradi. Mutaxassisning so’zlariga ko’ra, Java Management Extensions (JMX) kengaytmasi bo’lgan Jolokiadagi zaifliklar ma’lumotlarni o’g’irlash va Java veb-serverlariga qarshi DoS (xizmat ko’rsatishdan bosh tortish) hujumlarini amalga oshirish uchun ishlatilishi mumkin.

Muammo WAR kabi ba’zi Jolokia distributivlari «sukut bo’yicha xavfsiz emasligi» sababli yuzaga keladi, dedi Mannion. Jolokia asosan monitoring texnologiyasi sifatida ishlatilsa-da, ushbu komponentdan zararli maqsadlarda foydalanish imkoniyati juda keng.

«Tomcat (va boshqa servlet konteynerlari) JMX orqali juda ko’p ma’lumotlarni eksport qiladi va Jolokia o’zboshimchalik bilan buyruqlarni bajarishga imkon beradi, bu esa ma’lumotlarning oshkor bo’lishiga yoki DoS hujumiga olib kelishi mumkin», deb ta’kidladi u.

Bu muammo bir nechta yirik veb-saytlarga, jumladan, banklar va moliyaviy xizmatlar kompaniyalariga tegishli veb-saytlarga ta’sir ko’rsatdi. Ko’pgina hollarda, «noto’g’ri JMX ko’prigi konfiguratsiyasi hisob ma’lumotlariga HTTP orqali oddiy matnda kirishga olib keldi».

Tadqiqotchi ta’sirlangan veb-saytlar egalariga HackerOne platformasi orqali xabar berdi. Shuningdek, u Apache Tomcat 8 servlet konteyneriga hujum qilish uchun kontseptsiya isbotini e’lon qildi.

Java Management Extensions (JMX) – bu ilovalar, tizim obyektlari, qurilmalar va kompyuter tarmoqlarini kuzatish va boshqarish uchun mo’ljallangan Java texnologiyasi.

Jolokia – bu JMX yordamida mahalliy yoki masofaviy Java mashinasini kuzatish uchun agent va/yoki proksi vazifasini bajaradigan dastur.