Nostromo nhttpd のパストラバーサルの脆弱性（CVE-2019-16278）

何が起きた

Nostromo の nhttpd というウェブサーバーで、http_verify という処理に、ディレクトリトラバーサルの弱点が見つかりました。細工した HTTP の要求を送るだけで、攻撃者がサーバー上で命令を実行できるおそれがあります。ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用でき、実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

nhttpd を 1.9.6 まで（1.9.6 を含む）のバージョンで動かしている人や組織が対象です。メーカーの説明では、chroot（閉じ込めの仕組み）を使わずに動かしている場合に影響があります。

何をすればいい

nhttpd のバージョンを確認し、修正が入った 1.9.7 以降に更新されているか確かめてください。更新内容は Nostromo の公式の変更履歴を確認してください。

やることチェックリスト

• nhttpd のバージョンを確認する
• nhttpd を 1.9.7 以降に更新する
• nhttpd を使うサーバーを洗い出す

用語メモ

ディレクトリトラバーサル

ファイルの場所の指定を細工して、本来は届かない場所のファイルにたどり着く攻撃です。

chroot

プログラムが見られるフォルダの範囲を、決めた場所だけに閉じ込める仕組みです。