آسیب پذیری در سرور Nostromo http که منجر به اجرای کد از راه دور می شود

در سرور http Nostromo (nhttpd) شناخته شده است آسیب پذیری
(CVE-2019-16278)، که به مهاجم اجازه می دهد تا با ارسال یک درخواست HTTP ساخته شده خاص، کد را از راه دور روی سرور اجرا کند. مشکل در انتشار رفع خواهد شد 1.9.7 (هنوز منتشر نشده است). با قضاوت بر اساس اطلاعات موتور جستجوی Shodan، سرور Nostromo http بر روی تقریباً 2000 هاست در دسترس عموم استفاده می شود.

این آسیب پذیری ناشی از خطا در تابع http_verify است که با عبور دنباله ".%0d./" در مسیر، دسترسی به محتوای فایل سیستم خارج از فهرست اصلی سایت را از دست می دهد. این آسیب‌پذیری به این دلیل رخ می‌دهد که قبل از اجرای تابع عادی‌سازی مسیر، بررسی وجود کاراکترهای «../» انجام می‌شود که در آن کاراکترهای خط جدید (%0d) از رشته حذف می‌شوند.

برای بهره برداری آسیب پذیری، می توانید به جای اسکریپت CGI به /bin/sh دسترسی پیدا کنید و با ارسال یک درخواست POST به URI "/.%0d./.%0d./.%0d./.%0d./bin، هر ساختار پوسته ای را اجرا کنید. /sh" و ارسال دستورات در بدنه درخواست. جالب اینجاست که در سال 2011، یک آسیب‌پذیری مشابه (CVE-2011-0751) قبلاً در Nostromo رفع شده بود که با ارسال درخواست "/..%2f..%2f..%2fbin/sh" اجازه حمله را می داد.

منبع: opennet.ru