Na http serveru (nhttpd) zranitelnost
(CVE-2019-16278), který umožňuje útočníkovi vzdáleně spustit kód na serveru odesláním speciálně vytvořeného požadavku HTTP. Problém bude opraven ve vydání (zatím nezveřejněno). Soudě podle informací z vyhledávače Shodan se server Nostromo http používá na přibližně 2000 veřejně přístupných hostitelích.
Chyba zabezpečení je způsobena chybou ve funkci http_verify, která zmešká přístup k obsahu systému souborů mimo kořenový adresář webu předáním sekvence ".%0d./" v cestě. K této chybě zabezpečení dochází, protože před provedením funkce normalizace cesty je provedena kontrola přítomnosti znaků „../“, při níž jsou z řetězce odstraněny znaky nového řádku (%0d).
pro zranitelnosti, můžete místo skriptu CGI přistupovat k /bin/sh a spustit jakoukoli konstrukci shellu odesláním požadavku POST na URI „/.%0d./.%0d./.%0d./.%0d./bin /sh " a předání příkazů v těle požadavku. Zajímavé je, že v roce 2011 již byla v Nostromo opravena podobná chyba zabezpečení (CVE-2011-0751), která umožňovala útok odesláním požadavku „/..%2f..%2f..%2fbin/sh“.
Zdroj: opennet.ru