CVE-2019-5096

GoAhead Web Server: RCE przez use-after-free w obsłudze multipart/form-data

CVSS 9.8v3.1pub. 2019-12-03upd. 2024-11-21

Krytyczna podatność use-after-free w serwerze GoAhead firmy Embedthis umożliwia zdalne wykonanie kodu (RCE) bez uwierzytelnienia. Atakujący może przejąć pełną kontrolę nad systemem wysyłając specjalnie spreparowane żądanie HTTP.

▸ Pokaż oryginał (EN)

An exploitable code execution vulnerability exists in the processing of multi-part/form-data requests within the base GoAhead web server application in versions v5.0.1, v.4.1.1 and v3.6.5. A specially crafted HTTP request can lead to a use-after-free condition during the processing of this request that can be used to corrupt heap structures that could lead to full code execution. The request can be unauthenticated in the form of GET or POST requests, and does not require the requested resource to exist on the server.

🤖 Analiza AI

Jak działa

Podatność występuje podczas przetwarzania żądań HTTP typu multipart/form-data. Specjalnie spreparowane żądanie HTTP wywołuje stan use-after-free w trakcie przetwarzania takiego żądania. Błąd ten pozwala na korumpowanie struktur na stercie (heap), co ostatecznie prowadzi do możliwości wykonania dowolnego kodu. Atak może być przeprowadzony zarówno przez żądania GET, jak i POST, nie wymaga uwierzytelnienia ani obecności żądanego zasobu na serwerze.

Skutki

Atakujący może uzyskać pełne zdalne wykonanie kodu (RCE) na podatnym serwerze bez jakiegokolwiek uwierzytelnienia, co może prowadzić do całkowitego przejęcia kontroli nad systemem, utraty poufności, integralności i dostępności danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się aktualizację GoAhead do wersji załatanych przez Embedthis oraz ograniczenie dostępu sieciowego do serwera GoAhead wyłącznie do zaufanych źródeł za pomocą firewall, jeśli natychmiastowy patch nie jest możliwy.