Goahead webserver (pre v5.1.5) RCE PoC (CVE-2021-42342)

Un bug récent dans Goahead Webserver a été découvert par William Bowling qui mène à une RCE sur le serveur exploité.

Le problème existe avant la version 5.1.5 qui, selon Shodan couvre environ 2,8 millions de serveurs sur Internet.
Un CVE est maintenant disponible [https://nvd.nist.gov/vuln/detail/CVE-2021-42342]

La RCE est causée par le fait que si le filtre de téléversement de fichiers est activé, l'utilisateur peut téléverser des fichiers et en même temps définir des variables de formulaire utilisateur.

Ces variables finissent par devenir des variables d'environnement du système d'exploitation. Ce n'est normalement pas un problème, car dans les cas normaux de téléversement de formulaire, les variables d'environnement sont préfixées avec CGI_ (par défaut). Si, cependant, le filtre de téléversement de fichiers est activé, une erreur dans le code fait que ce préfixe est omis = RCE instantanée via les variables d'environnement + le fichier.

Création d'un simple objet partagé

Ce qui suit affiche simplement "Hello World" sur le serveur distant, mais cela pourrait être n'importe quoi :

#include <stdio.h>
#include <sys/types.h>
#include <stdlib.h>
#include <unistd.h>
static void before_main(void) __attribute__((constructor));

static void before_main(void)
{
    write(1, "Hello World!\n", 14);
}