В http-сервер Nostromo (nhttpd) уязвимост
(CVE-2019-16278), което позволява на атакуващия да изпълни свой код на сървъра дистанционно, като изпрати специално оформен HTTP запитване. Проблемът ще бъде отстранен в версия (още не е публикувана). Според информацията от търсачката Shodan, http-сървър Nostromo е използван на около 2000 публично достъпни хостинга.
Уязвимостта е причинена от грешка в функцията http_verify, която пропуска извикването на съдържанието на файловата система извън кореновата директория на сайта чрез предаване на последователността «..\/» в пътя. Уязвимостта се проявява, тъй като проверката за наличието на символите «..\/» се извършва преди изпълнението на функцията за нормализация на пътя, в която от строката се премахват символи за нов ред ().
За към уязвимостите може да се получи достъп до \/bin\/sh вместо CGI-скрипт и да се изпълнят всякакви shell конструкции, изпращайки POST заявка към URI «\/..\/\..\/\..\/\..\/bin\/sh» и предавайки команди в тялото на заявката. Интересно е, че през 2011 година в Nostromo вече е била коригирана подобна уязвимост (CVE-2011-0751), която е позволявала атака чрез изпращане на заявка «\......bin\/sh».
Източник: opennet.ru
