Nel server http (nhttpd) vulnerabilità
(CVE-2019-16278), che consente a un aggressore di eseguire codice in remoto sul server inviando una richiesta HTTP appositamente formattata. Il problema sarà risolto nella versione (ancora non pubblicata). Secondo le informazioni del motore di ricerca Shodan, il server http Nostromo è utilizzato su circa 2000 host pubblicamente accessibili.
La vulnerabilità è causata da un errore nella funzione http_verify, che consente l'accesso al contenuto del file system al di fuori della directory radice del sito tramite la trasmissione di una sequenza nel percorso «..\/». La vulnerabilità si manifesta poiché il controllo dei caratteri «..\/» viene effettuato prima dell'esecuzione della funzione di normalizzazione del percorso, in cui vengono rimossi i caratteri di fine riga ().
Per Dalla vulnerabilità è possibile accedere a \/bin\/sh invece di uno script CGI ed eseguire qualsiasi costrutto shell inviando una richiesta POST all'URI «\/..\/..\/..\/..\/bin\/sh» e passando i comandi nel corpo della richiesta. È interessante notare che nel 2011 era già stata corretta una vulnerabilità simile in Nostromo (CVE-2011-0751), che consentiva attacchi tramite l'invio di una richiesta «\......bin\/sh».
Fonte: opennet.ru
