http serverī (nhttpd) ievainojamība
(CVE-2019-16278), kas ļauj uzbrucējam attālināti izpildīt kodu serverī, nosūtot īpaši izstrādātu HTTP pieprasījumu. Problēma tiks novērsta izlaidumā (vēl nav publicēts). Spriežot pēc informācijas no Shodan meklētājprogrammas, Nostromo http serveris tiek izmantots aptuveni 2000 publiski pieejamos saimniekdatoros.
Ievainojamību izraisa kļūda funkcijā http_verify, kas nepiekļūst failu sistēmas saturam ārpus vietnes saknes direktorija, ceļā nododot secību ".%0d./". Ievainojamība rodas tāpēc, ka pirms ceļa normalizācijas funkcijas izpildes tiek veikta pārbaude, vai nav rakstzīmju “../”, kurā no virknes tiek noņemtas jaunas rindiņas rakstzīmes (%0d).
Par ievainojamību, varat piekļūt /bin/sh CGI skripta vietā un izpildīt jebkuru čaulas konstrukciju, nosūtot POST pieprasījumu uz URI “/.%0d./.%0d./.%0d./.%0d./bin /sh " un nododot komandas pieprasījuma pamattekstā. Interesanti, ka 2011. gadā līdzīga ievainojamība (CVE-2011-0751) jau tika novērsta Nostromo, kas ļāva veikt uzbrukumu, nosūtot pieprasījumu “/..%2f..%2f..%2fbin/sh”.
Avots: opennet.ru