http serveryje (nhttpd) pažeidžiamumas
(CVE-2019-16278), leidžianti užpuolikui nuotoliniu būdu vykdyti kodą serveryje siunčiant specialiai sukurtą HTTP užklausą. Išleista problema bus išspręsta (dar nepaskelbta). Sprendžiant pagal informaciją iš Shodan paieškos variklio, Nostromo http serveris naudojamas maždaug 2000 viešai prieinamų kompiuterių.
Pažeidžiamumą sukelia klaida http_verify funkcijoje, kuri praleidžia prieigą prie failų sistemos turinio už svetainės šakninio katalogo ribų, kelyje perduodama seką „.%0d./“. Pažeidžiamumas atsiranda dėl to, kad patikrinama, ar nėra „../“ simbolių prieš vykdant kelio normalizavimo funkciją, kai naujos eilutės simboliai (%0d) pašalinami iš eilutės.
Už pažeidžiamumą, galite pasiekti /bin/sh, o ne CGI scenarijų ir vykdyti bet kokią apvalkalo konstrukciją, išsiųsdami POST užklausą į URI „/.%0d./.%0d./.%0d./.%0d./bin /sh “ ir perduodamas komandas užklausos turinyje. Įdomu tai, kad 2011 metais panašus pažeidžiamumas (CVE-2011-0751) jau buvo ištaisytas Nostromo, kuris leido atakuoti siunčiant užklausą „/..%2f..%2f..%2fbin/sh“.
Šaltinis: opennet.ru