В http-сървъра (nhttpd) уязвимост
(CVE-2019-16278), позволяваща на нападателя да изпълни собствен код на сървъра чрез изпращане на специално оформено HTTP запитване. Проблемът ще бъде отстранен в следващото издание (още не публикувано). Според информация от търсачката Shodan, http-сървърът Nostromo се използва на около 2000 публично достъпни хостинга.
Уязвимостта е причинена от грешка в функцията http_verify, която пропуска достъп до съдържанието на файловата система извън кореновата директория на сайта чрез предаване на последователността «..\/» в пътя. Уязвимостта се проявява, тъй като проверката за наличие на символи «..\/» се извършва преди изпълнението на функцията за нормализация на пътя, в която от стринга се премахват символите на нов ред ().
За Чрез уязвимостта може да се получи достъп до \/bin\/sh вместо CGI-скрипта и да се изпълни всяка shell-команда, като се изпрати POST-заявка към URI «\/..\/..\/..\/..\/bin\/sh» и се предадат командите в тялото на заявката. Интересно е, че през 2011 г. в Nostromo вече беше коригирана подобна уязвимост (CVE-2011-0751), която позволявала атаки чрез изпращане на заявка «\......bin\/sh».
Източник: opennet.ru
