Веб-сервер GoAhead встраивается в сотни миллионов устройств и приложений — принтеры, маршрутизаторы, коммутаторы, IP-телефоны, мобильные приложения, инструменты сбора данных, военные приложения и шлюзы Wi-Fi.

CVE-2019-5096

Уязвимость, связанная с выполнением произвольного кода при обработке HTTP- запросов multi-part/form-data. Специально созданный HTTP-запрос может привести к условию использования после освобождения (use-after-free) во время обработки такого запроса, который может быть использован для повреждения кучи, что может привести к произвольному выполнению кода. Атака с использованием данной уязвимости не требует аутентификации и не требует наличия запрашиваемого ресурса на сервере.

CVE-2019-5097

При обработке HTTP-запросов multi-part/form-data, HTTP-обработчик может быть переведен в состояние бесконечного цикла, что приводит к 100-процентной загрузке ЦП (denial-of-service). Если клиентское соединение прерывается до того, как служба получила объем данных, указанный в заголовке Content-Length, сервер пытается непрерывно отправить ответ на отключенный сокет. Атака с использованием данной уязвимости не требует аутентификации и не требует наличия запрашиваемого ресурса на сервере.

Уязвимости направлены на GoAhead web server версии v. 5.0.1, v. 4.1.1 и v. 3.6.5.

Мера противодействия — обновить уязвимое ПО.

Ссылки на источники:

• https://blog.talosintelligence.com/2019/12/vulnerability-spotlight-EmbedThis-GoAhead.html

• https://www.embedthis.com/goahead/download.html

• https://www.embedthis.com/goahead/