W serwerze http (nhttpd) luka
(CVE-2019-16278), umożliwiająca atakującemu zdalne wykonanie swojego kodu na serwerze poprzez wysłanie specjalnie sformatowanego żądania HTTP. Problem zostanie rozwiązany w wersji (jeszcze nieopublikowanej). Z informacji wyszukiwarki Shodan wynika, że serwer http Nostromo jest używany na około 2000 publicznie dostępnych hostach.
W vulnerability is caused by an error in the http_verify function that bypasses access to the file system content outside the website's root directory by transmitting the sequence «..\/» in the path. The vulnerability manifests because the check for the presence of the «..\/» characters occurs before the normalization function is executed, which removes newline characters () from the string.
Dla Through the vulnerabilities, one can access \/bin\/sh instead of a CGI script and execute any shell construct by sending a POST request to the URI «\/..\/..\/..\/..\/bin\/sh» and passing commands in the body of the request. Interestingly, a similar vulnerability (CVE-2011-0751) was fixed in Nostromo in 2011, which allowed attacks by sending the request «\/......bin\/sh».
Źródło: opennet.ru
