Nostromo http-serveris leke, mis võimaldab koodi kaugkäivitamist

Nostromo http-serveris Nostromo (nhttpd) tuvastatud haavatavus
(CVE-2019-16278), mis võimaldab ründajal kaugelt oma koodi serveris käivitada, saates spetsiaalselt vormindatud HTTP-päringu. Probleem lahendatakse versiooniga 1.9.7 (veel avaldamata). Shodani otsingumootori teabe põhjal kasutatakse Nostromo http-serverit ligikaudu 2000 avalikult kergelt ligipääsetavas hostis.

Turvalisus tuleneb veast http_verify funktsioonis, mis lubab pääseda failisüsteemi sisule väljaspool saidi juurkatalooge, edastades teed koos järjekorraga «..\/». Turvalisus ilmneb seetõttu, et kontroll kahekordsete punktide «..\/» olemasolu toimub enne tee normaliseerimise funktsiooni, kus stringist eemaldatakse reavahetuse sümbolid ().

Tooge lekke Turvalisuse tõttu on võimalik pääseda /bin/sh-le CGI-skripti asemel ja täita igasuguseid shell-konstruktsioone, saates POST-päringu URI-ile «/..\/..\/..\/..\/bin/sh» ning edastades käske päringu kehaga. Huvi pärast tasub märkida, et 2011. aastal Nostromos parandati sarnane haavatavus (CVE-2011-0751), mis lubas rünnata, saates päringu «/......bin/sh».

Allikas: opennet.ru