| Разработчики: | Apache Software Foundation (ASF) |
| Дата премьеры системы: | 1999/06/15 |
| Дата последнего релиза: | 2020/02/29 |
| Технологии: | Серверные платформы |
Содержание |
Apache Tomcat - контейнер сервлетов с открытым исходным кодом.
2020: Уязвимость Ghostcat, позволяющая перехватить управление системой
29 февраля 2020 года стало известно о том, что в сервере приложений Apache Tomcat обнаружена серьезная уязвимость, позволяющая перехватить управление уязвимыми системами. Проблема, получившая название Ghostcat, затрагивает все версии Apache Tomcat, выпущенные за последние 13 лет.
По информации компании, уязвимость содержится в протоколе Apache JServ Protocol (AJP) - двоичном протоколе, обеспечивающем передачу входящих запросов с web-сервера до сервера приложений. AJP коннектор по умолчанию включен на всех серверах Tomcat и слушает порт 8009.
По словам специалистов китайской компании Chaitin, Ghostcat (CVE-2020-1938, CNVD-2020-10487) может использоваться для чтения/записи файлов на сервер Tomcat. К примеру, атакующие могут получить доступ к конфигурационным файлам приложения и украсть пароли либо записать файлы на сервер (бэкдоры, web-шеллы и т. д.). Последнее возможно только в том случае, если какое-либо приложение на сервере разрешает загрузку файлов.Облачные сервисы для бизнеса: особенности рынка и крупнейшие поставщики. Обзор TAdviser 
Уязвимости подвержены следующие ветки Apache Tomcat:
- Apache Tomcat 9.x < 9.0.31
- Apache Tomcat 8.x < 8.5.51
- Apache Tomcat 7.x < 7.0.100
- Apache Tomcat 6.x
Корректирующие обновления на февраль 2020 года доступны для релизов Tomcat 7.x , Tomcat 8.x , и Tomcat 9.x , за исключением ветки 6.x, поддержка которой была прекращена в 2016 году. Согласно результатам поиска BinaryEdge, на февраль 2020 года в Сети доступно более миллиона Tomcat-серверов. Кроме того, с момента публикации информации о проблеме на GitHub уже появился ряд PoC-кодов [ 1 , 2 , 3 , 4 , 5 ] для тестирования и осуществления атак Ghostcat [1].
2015: Описание Apache Tomcat
Продукт исполняет спецификацию сервлетов, спецификацию JavaServer Pages (JSP) и JavaServer Faces (JSF). Написан на языке Java.
Tomcat позволяет запускать веб-приложения, содержит ряд программ для самоконфигурирования.
Скриншот окна страницы сервера Tomcat, 2013
Сервер используется в качестве самостоятельного веб-сервера, в качестве сервера контента в сочетании с веб-сервером Apache HTTP Server, в качестве контейнера сервлетов в серверах приложений JBoss и GlassFish.
Разработку и поддержку Tomcat ведет фонд Apache Software Foundation и добровольцы. Пользователи имеют свободный доступ к исходным кодам и бинарным файлам Tomcat согласно лицензии Apache License 2.0. Номера версий Tomcat начинаются с 3.0.x (предыдущие версии Sun выпустила для внутреннего пользования).
Примечания
| Заказчик | Интегратор | Год | Проект |
|---|---|---|---|
| - Центр системы мониторинга рыболовства и связи (ЦСМС) | ФОРС - Центр разработки | 2018.03 |  |
| - Пенсионный Фонд России (ПФР) | R-Style (Эр-Стайл) ГК | --- | |
Подрядчики-лидеры по количеству проектов
Softline (Софтлайн) (89) X-Com (Икс ком) (57) Крок (35) Инфосистемы Джет (34) Астерос (34) Другие (1100) X-Com (Икс ком) (10) Softline (Софтлайн) (6) Крикунов и Партнеры Бизнес Системы (КПБС, KPBS, Krikunov & Partners Business Systems) (5) Крок (4) Delta Computers (Дельта Компьютерс) (3) Другие (53) Крикунов и Партнеры Бизнес Системы (КПБС, KPBS, Krikunov & Partners Business Systems) (3) Мобильные ТелеСистемы (МТС) (3) Почта России (2) Селектел (Selectel) (2) Концерн Автоматика (1) Другие (24)Распределение вендоров по количеству проектов внедрений (систем, проектов) с учётом партнёров
Lenovo (1, 6) Lenovo Data Center Group (1, 6) SOTI (1, 3) КНС Групп (Yadro) (1, 3) Bull (Atos IT Solutions And Services) (2, 2) Другие (18, 20) Селектел (Selectel) (1, 2) Базальт СПО (BaseALT) ранее ALT Linux (1, 1) КРУГ НПФ (1, 1) Ситроникс (Sitronics) (1, 1) Aerodisk (Аеро Диск) (1, 1) Другие (7, 7) Аладдин Р.Д. (Aladdin R.D.) (1, 2) Red Hat (1, 1) КРУГ НПФ (1, 1) Dell EMC (1, 1) Delta Solutions (Дельта Солюшнс) (1, 1) Другие (8, 8) КНС Групп (Yadro) (1, 3) TrueConf (Труконф) (1, 2) Content AI (Контент ИИ) (1, 2) Селектел (Selectel) (1, 1) AirBit (АирБит) (1, 1) Другие (5, 5)Распределение систем по количеству проектов, не включая партнерские решения
Microsoft Active Directory - 32 Oracle Exadata Database Machine - 21 Oracle WebLogic Server - 20 Microsoft System Center Operations Manager (SCOM) - 18 Lenovo ThinkSystem - 17 Другие 369 Lenovo ThinkSystem - 6 Yadro Сервер - 3 Soti Mobicontrol - 3 Ngenix Облачная платформа - 2 Dell EMC PowerEdge - 2 Другие 15 Selectel Выделенные серверы - 2 Альт Сервер - 1 HPE Apollo 4000 Серверы - 1 Delta Solutions: Tioga Pass Серверы с архитектурой Open Compute Project (OCP) - 1 Серверы Ситроникс - 1 Другие 5 JaCarta Authentication Server (JAS) - 2 Yadro Сервер - 1 SharxBase - 1 Delta Solutions: Tioga Pass Серверы с архитектурой Open Compute Project (OCP) - 1 КРУГ: TimeVisor Сервер единого времени - 1 Другие 5 Yadro Сервер - 3 ContentReader Server - 2 Trueconf MCU (Multipoint Control Unit) - 2 Инферит Серверы - 1 RDW Computers Серверы - 1 Другие 4 
