Nel server http (nhttpd) una vulnerabilità
(CVE-2019-16278), consentendo a un attaccante di eseguire il proprio codice sul server inviando una richiesta HTTP appositamente formattata. Il problema sarà risolto nel rilascio (ancora non pubblicato). Stando alle informazioni del motore di ricerca Shodan, il server http Nostromo è utilizzato su circa 2000 host pubblicamente accessibili.
La vulnerabilità è causata da un errore nella funzione http_verify, che consente l'accesso al contenuto del file system al di fuori della directory radice del sito tramite la trasmissione della sequenza "../" nel percorso. La vulnerabilità si manifesta poiché il controllo della presenza dei caratteri "../" viene effettuato prima dell'esecuzione della funzione di normalizzazione del percorso, in cui vengono rimossi i caratteri di nuova riga ().
Per Dalla vulnerabilità è possibile accedere a /bin/sh invece dello script CGI e eseguire qualsiasi costrutto shell inviando una richiesta POST all'URI "/../../../../bin/sh" e passando i comandi nel corpo della richiesta. È interessante notare che nel 2011 in Nostromo è stata già corretta una vulnerabilità simile (CVE-2011-0751), che consentiva attacchi tramite l'invio di una richiesta "/......bin/sh".
Fonte: opennet.ru
