Vulnérabilité dans le serveur HTTP Nostromo menant à l'exécution de code à distance

Dans le serveur http Nostromo (nhttpd) une vulnérabilité a été identifiée CVE-2020-10174
(CVE-2019-16278), permettant à un attaquant d’exécuter à distance son code sur le serveur en envoyant une requête HTTP spécialement formatée. Le problème sera corrigé dans la version 1.9.7 (encore non publiée). Selon les informations du moteur de recherche Shodan, le serveur http Nostromo est utilisé sur environ 2000 hôtes accessibles publiquement.

La vulnérabilité est causée par une erreur dans la fonction http_verify qui permet l'accès au contenu du système de fichiers en dehors du répertoire racine du site via la transmission de la séquence «..⁄». Cette vulnérabilité se manifeste car la vérification des caractères «..⁄» est effectuée avant l'exécution de la fonction de normalisation du chemin, dans laquelle les caractères de retour à la ligne () sont supprimés.

Pour d'exploitation La vulnérabilité permet d'accéder à /bin/sh au lieu d'un script CGI et d'exécuter n'importe quelle commande shell en envoyant une requête POST à l'URI «/..⁄..⁄..⁄..⁄bin⁄sh» et en transmettant les commandes dans le corps de la requête. Il est intéressant de noter qu'en 2011, une vulnérabilité similaire avait déjà été corrigée dans Nostromo (CVE-2011-0751), qui permettait une attaque via l'envoi de la requête «/......bin⁄sh».

Source : opennet.ru