Dalam pelayan http (nhttpd) kelemahan
(CVE-2019-16278), yang membenarkan penyerang untuk melaksanakan kod dari jauh pada pelayan dengan menghantar permintaan HTTP yang dibuat khas. Isu itu akan diselesaikan dalam keluaran (belum diterbitkan lagi). Berdasarkan maklumat daripada enjin carian Shodan, pelayan http Nostromo digunakan pada kira-kira 2000 hos yang boleh diakses secara umum.
Kerentanan disebabkan oleh ralat dalam fungsi http_verify, yang terlepas akses kepada kandungan sistem fail di luar direktori akar tapak dengan menghantar urutan ".%0d./" dalam laluan. Kerentanan berlaku kerana semakan untuk kehadiran aksara "../" dilakukan sebelum fungsi normalisasi laluan dilaksanakan, di mana aksara baris baharu (%0d) dialih keluar daripada rentetan.
Untuk kerentanan, anda boleh mengakses /bin/sh dan bukannya skrip CGI dan melaksanakan sebarang binaan shell dengan menghantar permintaan POST kepada URI β/.%0d./.%0d./.%0d./.%0d./bin /sh " dan menghantar arahan dalam badan permintaan. Menariknya, pada tahun 2011, kelemahan serupa (CVE-2011-0751) telah pun diperbaiki di Nostromo, yang membenarkan serangan dengan menghantar permintaan "/..%2f..%2f..%2fbin/sh".
Sumber: opennet.ru