In de http-server (nhttpd) kwetsbaarheid
(CVE-2019-16278), waarmee een aanvaller op afstand zijn code op de server kan uitvoeren door een speciaal opgemaakte HTTP-aanroep te sturen. Het probleem zal worden opgelost in de release (nog niet gepubliceerd). Volgens informatie van de zoekmachine Shodan wordt de http-server Nostromo op ongeveer 2000 openbaar beschikbare hosts gebruikt.
De kwetsbaarheid wordt veroorzaakt door een fout in de functie http_verify, die toegang tot de bestandssysteeminhoud buiten de hoofdmap van de site toestaat door een reeks «.. /» in het pad door te geven. De kwetsbaarheid doet zich voor omdat de controle op de aanwezigheid van de tekens «.. /» wordt uitgevoerd voordat de functie voor padnormalisatie wordt uitgevoerd, waarin de regelovergangstekens () uit de string worden verwijderd.
Voor Via de kwetsbaarheid kan toegang worden verkregen tot /bin/sh in plaats van het CGI-script en kan elke shell-opdracht worden uitgevoerd door een POST-verzoek naar de URI «/ .. /.. /.. /.. /bin/sh» te verzenden en de commando's in de body van het verzoek door te geven. Interessant is dat in 2011 een soortgelijke kwetsbaarheid al was verholpen in Nostromo (CVE-2011-0751), die het mogelijk maakte om aan te vallen door het verzenden van de aanvraag «/......bin/sh».
Bron: opennet.ru
