CVE-2019-0232

New vulnerability that requires attention from the users that run the apache / tomcat from windows machines.

source:

http://mail-archives.us.apache.org/mod_mbox/www-announce/201904.mbox/%3C13d878ec-5d49-c348-48d4-25a6c81b9605%40apache.org%3E

“When running on Windows with enableCmdLineArguments enabled, the CGI
Servlet is vulnerable to Remote Code Execution due to a bug in the way
the JRE passes command line arguments to Windows. The CGI Servlet is
disabled by default. The CGI option enableCmdLineArguments is disabled
by default in Tomcat 9.0.x (and will be disabled by default in all
versions in response to this vulnerability)”

IIS 32bits Mode

Com o surgimento das máquinas a 64bits é cada vez maior o número de instalações a 64bits.
Isto, porem, acarreta alguns problemas, o cada vez maior número de sistemas operativos a ser implementados não é acompanhado de igual forma pelas aplicações a 32bits. Isto tem uma maior visibilidade nas aplicações WEB.

Por vezes não é possível colocar essas aplicações a funcionar com o que temos a 64bits por falta de drivers ou por impossibilidade de recompilação.

A forma de as por a funcionar é regredir um pouco e colocar o IIS a funcionar a 32bits.

Para isso temos de executar os seguintes paços:

  1. Activar a .Net Framework a 32bits. Não conseguimos originalmente activar esta Framework num sistema operativo a 64bits, obtemos um erro de não ser possível a instalação da Framework 32bits num sistema a 64bits.Para podermos proceder a esta instalação temos de fazer os seguintes paços:
  • Executar o seguinte script ” cscript.exe adsutil.vbs set W3SVC/AppPools/Enable32BitAppOnWin64 true “Isto vai permitir activar o iis em modo 32bits. Se mais tarde quisermos recuperar o iis em modo 64bits então basta-nos repetir o script com o false.
  • Depois temos de alterar a Framework. Para isso temos de ir á seguinte directoria c:WindowsMicrosoft.NetFrameworkv2.0.50727 e correr o seguinte comando:aspnet_regiis.exe -i este comando permite registar a Framework asp.net a 32bits.Depois de correr este script no iis admin dentro da pasta Web service extensions vai aparecer uma nova extensão asp.net v2.0.xxxx (32 bits).
  • Apenas temos de activar o novo menu escolhendo a opção alow.
  • Depois na no website que queremos que funcione a 32bits temos de fazer propriedades e escolher a tab asp.net e depois escolher na combo box asp.net version a versão 2.0.xxxx

— Atenção — Depois de fazermos estas alterações, “aleijam” o vosso servidor e o nosso iis pois deixaremos de conseguir correr aplicações compiladas a 64bits.

Não é possível ter em funcionamento na mesma máquina ambas as versões, por isso contem com esta solução apenas para preparar uma migração ou para permitir que (até à actualização da aplicação) esta funcione sem problemas numa máquina a 64bits.