Im HTTP-Server (nhttpd) eine Schwachstelle
(CVE-2019-16278), die es einem Angreifer ermöglicht, seinen Code remote auf dem Server auszuführen, indem er eine speziell gestaltete HTTP-Anfrage sendet. Das Problem wird in der Veröffentlichung behoben (noch nicht veröffentlicht). Laut Informationen von der Suchmaschine Shodan wird der HTTP-Server Nostromo auf etwa 2000 öffentlich zugänglichen Hosts verwendet.
Die Schwachstelle wird durch einen Fehler in der Funktion http_verify verursacht, die den Zugriff auf den Inhalt des Dateisystems außerhalb des Stammverzeichnisses der Website zulässt, indem die Sequenz «..\/» im Pfad übergeben wird. Die Schwachstelle tritt auf, da die Überprüfung auf die Zeichen «..\/» vor der Ausführung der Funktion zur Pfadnormalisierung erfolgt, in der Zeilenumbruchzeichen () aus dem String entfernt werden.
Für Durch die Schwachstelle kann auf \/bin\/sh anstelle des CGI-Skripts zugegriffen werden, und es können beliebige Shell-Konstrukte ausgeführt werden, indem eine POST-Anfrage an die URI «\/.\/.\/.\/.\/.bin\/sh» gesendet und Befehle im Anfragekörper übergeben werden. Interessanterweise wurde im Jahr 2011 eine ähnliche Schwachstelle (CVE-2011-0751) in Nostromo bereits behoben, die es ermöglichte, durch das Senden der Anfrage «\/......bin\/sh» anzugreifen.
Quelle: opennet.ru
