Nostromo http 服务器中的漏洞导致远程代码执行

在http服务器中 商船甲板长 （nhttpd） 已确定 漏洞
(CVE-2019-16278)，允许攻击者通过发送特制的 HTTP 请求来远程执行服务器上的代码。该问题将在发布时修复 1.9.7 （尚未发布）。根据 Shodan 搜索引擎的信息来看，Nostromo http 服务器被用于大约 2000 个可公开访问的主机上。

该漏洞是由 http_verify 函数中的错误引起的，该函数通过在路径中传递序列“.%0d./”而错过对站点根目录之外的文件系统内容的访问。该漏洞的发生是因为在执行路径规范化函数之前会检查是否存在“../”字符，其中换行符 (%0d) 会从字符串中删除。

为 操作 漏洞，您可以访问 /bin/sh 而不是 CGI 脚本，并通过向 URI“/.%0d./.%0d./.%0d./.%0d./bin”发送 POST 请求来执行任何 shell 构造/sh " 并在请求正文中传递命令。有趣的是，2011年，Nostromo中已经修复了一个类似的漏洞（CVE-2011-0751），该漏洞允许通过发送请求“/..%2f..%2f..%2fbin/sh”进行攻击。

来源： opennet.ru