Im HTTP-Server (nhttpd) eine Schwachstelle
(CVE-2019-16278), die es einem Angreifer ermöglicht, seinen Code remote auf dem Server auszuführen, indem er eine speziell gestaltete HTTP-Anfrage sendet. Das Problem wird in der Veröffentlichung behoben (noch nicht veröffentlicht). Laut Informationen von der Suchmaschine Shodan wird der HTTP-Server Nostromo auf etwa 2000 öffentlich zugänglichen Hosts verwendet.
Die Schwachstelle wird durch einen Fehler in der Funktion http_verify verursacht, die den Zugriff auf Inhalte im Dateisystem außerhalb des Stammverzeichnisses der Website durch Übertragung der Zeichenfolge „../“ im Pfad zulässt. Die Schwachstelle tritt auf, da die Überprüfung auf die Zeichen „../“ vor der Ausführung der Funktion zur Normalisierung des Pfads erfolgt, in der Zeilenumbruchzeichen () aus der Zeichenfolge entfernt werden.
Für Über die Schwachstelle kann auf /bin/sh anstelle des CGI-Skripts zugegriffen werden, und jede Shell-Konstruktion kann ausgeführt werden, indem ein POST-Request an die URI „/../../../../bin/sh“ gesendet und die Befehle im Anfragekörper übergeben werden. Interessanterweise wurde im Jahr 2011 eine ähnliche Schwachstelle in Nostromo behoben (CVE-2011-0751), die einen Angriff durch das Senden der Anfrage „/......bin/sh“ ermöglichte.
Quelle: opennet.ru
