Vulnérabilité dans le serveur HTTP Nostromo menant à l'exécution de code à distance

Dans le serveur http Nostromo (nhttpd) une vulnérabilité a été identifiée CVE-2020-10174
(CVE-2019-16278), permettant à un attaquant d’exécuter à distance son code sur le serveur en envoyant une requête HTTP spécialement formatée. Le problème sera corrigé dans la version 1.9.7 (encore non publiée). Selon les informations du moteur de recherche Shodan, le serveur http Nostromo est utilisé sur environ 2000 hôtes accessibles publiquement.

La vulnérabilité est causée par une erreur dans la fonction http_verify, qui omet de vérifier l'accès au contenu du système de fichiers en dehors du répertoire racine du site via le passage d'une séquence «.. /» dans le chemin. La vulnérabilité se manifeste car la vérification de la présence de caractères «.. /» est effectuée avant l'exécution de la fonction de normalisation du chemin, dans laquelle les caractères de retour à la ligne () sont supprimés.

Pour d'exploitation Il est possible d'exploiter la vulnérabilité pour accéder à /bin/sh au lieu du script CGI et exécuter n'importe quelle commande shell en envoyant une requête POST à l'URI «/../../../../bin/sh» et en transmettant des commandes dans le corps de la requête. Il est intéressant de noter qu'en 2011, une vulnérabilité similaire avait déjà été corrigée dans Nostromo (CVE-2011-0751), qui permettait une attaque via l'envoi de la requête «/......bin/sh».

Source : opennet.ru