嵌入式Web服务器GoAhead远程代码执行漏洞CVE-2017-17562分析与防护方案

Embedthis公司的Web服务器 GoAhead爆出远程代码执行漏洞,CVEID为CVE-2017-17562。当与 glibc 动态链接器结合使用时, 可以利用特殊参数名称 ,如 LD_PRELOAD,就可以实施远程代码执行。攻击者可以在请求的正文中POST其共享对象有效Payload, 并使用/proc/self/fd/0 引用它。绿盟科技发布《GoAhead httpd/2.5 to 3.5 LD_PRELOAD远程代码执行漏洞(CVE-2017-17562)分析与防护方案》,并针对公有云资产发布了绿盟云紧急漏洞在线检测,检测地址如下:

https://cloud.nsfocus.com/#/krosa/views/initcdr/productandservice?page_id=12

GoAhead是什么

GoAhead是一个开源(商业许可)、简单、轻巧、功能强大、可以在多个平台运行的嵌入式Web Server。GoAhead Web Server是为嵌入式实时操作系统(RTOS)量身定制的Web服务器。支持多种操作系统,包括eCos 、LINUX 、LynxOS 、QNX 、VxWorks 、WinCE、pSOS等。

GoAhead远程代码执行漏洞CVE-2017-17562

CVE信息显示,Embedthis GoAhead 3.6.5之前版本, 如果 cgi 是启用,并且cgi 程序是动态链接,则会出现允许远程代码执行问题。这是由于, 在cgi 中使用 cgiHandler 函数中的不受信任 HTTP 请求参数初始化分叉 cgi 脚本环境的结果。

当与 glibc 动态链接器结合使用时, 可以利用特殊参数名称 ,如 LD_PRELOAD,就可以实施远程代码执行。攻击者可以在请求的正文中POST其共享对象有效Payload, 并使用/proc/self/fd/0 引用它。

详细分析见这里

https://www.elttam.com.au/blog/goahead/

GoAhead httpd/2.5 to 3.5 LD_PRELOAD远程代码执行漏洞(CVE-2017-17562)威胁预警通告

绿盟科技通告信息显示,GoAhead Web Server 在3.6.5之前的所有版本中存在一个远程代码执行漏洞(CVE-2017-17562)。该漏洞源于使用不受信任的HTTP请求参数初始化CGI脚本环境,并且会影响所有启用了动态链接可执行文件(CGI脚本)支持的用户。当与glibc动态链接器结合使用时,使用特殊变量(如LD_PRELOAD)可以滥用该漏洞,从而导致远程代码执行。

参考链接:

https://www.elttam.com.au/blog/goahead/

https://github.com/embedthis/goahead/issues/249

影响范围

受影响的版本

  • GoAhead Web Server Version < 3.6.5

不受影响的版本

  • GoAhead Web Server Version >= 3.6.5

解决方案

GoAhead官方已经发布新版本修复了该漏洞,受影响的用户请尽快升级到最新版本进行防护。

参考链接:

https://github.com/embedthis/goahead/releases

关于GoAhead Web Server

GoAhead是“世界上最受欢迎的微型嵌入式Web服务器”, 结构紧凑,使用安全简单,被部署在数以亿计的设备中,如IBM,HP,Oracle,波音,D-link和摩托罗拉等公司,是最小的嵌入式设备的理想选择。

参考链接:https://embedthis.com/goahead/

技术防护方案

用户自查

该漏洞影响linux服务器上开启了动态链接可执行文件的用户,同时请检查当前GoAhead Web Server版本是否在受影响范围内,如果当前版本低于3.6.5,则存在风险。

版本检测可使用如下命令:

./goahead –version

官方修复方案

官方已经在新版本中修复了该漏洞,请用户尽快升级到最新版本进行防护。用户可以保存auth.txt和route.tx配置文件, 然后删除以前版本的GoAhead,接下来,安装新版本并将您的配置应用于新版本。

参考链接:

https://embedthis.com/goahead/download.html

https://embedthis.com/goahead/doc/start/installing.html

绿盟科技防护建议

绿盟科技检测类产品与服务

公网资产可使用绿盟云 紧急漏洞在线检测,检测地址如下:

https://cloud.nsfocus.com/#/krosa/views/initcdr/productandservice?page_id=12

内网资产可以使用绿盟科技的入侵检测系统(IDS) 进行检测。

入侵检测系统(IDS)

http://update.nsfocus.com/update/listIds

通过上述链接,升级至最新版本即可进行检测

 

使用绿盟科技防护类产品(IPS/NF/WAF)进行防护:

入侵防护系统(IPS)

http://update.nsfocus.com/update/listIps

下一代防火墙系统(NF)

http://update.nsfocus.com/update/listNf

Web应用防护系统(WAF)

http://update.nsfocus.com/update/wafIndex

通过上述链接,升级至最新版本即可进行防护!

绿盟科技声明

本安全公告仅用来描述可能存在的安全问题,绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,绿盟科技以及安全公告作者不为此承担任何责任。绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告,必须保证此安全公告的完整性,包括版权声明等全部内容。未经绿盟科技允许,不得任意修改或者增减此安全公告内容,不得以任何方式将其用于商业目的。

GoAhead httpd/2.5 to 3.5 LD_PRELOAD远程代码执行漏洞(CVE-2017-17562)分析与防护方案

点击图片下载

发表评论