专栏名称: 深信服千里目安全实验室

深信服科技旗下安全实验室，致力于网络安全攻防技术的研究和积累，深度洞察未知网络安全威胁，解读前沿安全技术。

相关文章推荐

新疆商务 · 石榴数据线丨开门红！新疆双口岸运输不停歇 ... · 昨天

徐州新闻 · 抖音、快手同日宣布：下架！ · 昨天

蓝鲸新闻 · 男模大佬、为奴三年……片名夸张博眼球，抖音快 ... · 2 天前

短剧新圈 · 2月8日短剧榜： · 3 天前

中水电 · 菲律宾分公司获评菲律宾梅尼拉德水务公司多项荣誉表彰 · 3 天前

51好读 › 专栏 › 深信服千里目安全实验室

GoAhead Web服务器代码执行漏洞

深信服千里目安全实验室 · 公众号 · · 2019-12-05 16:19

正文

漏洞名称 ：EmbedThis GoAhead Web服务器代码执行漏洞

威胁等级 ：三级

影响范围 ：GoAhead Web Server v5.0.1,v4.1.1, v3.6.5

漏洞类型 ：代码执行

GoAhead漏洞产品介绍

GoAhead是一个开源、简单、小巧、功能强大、可以在多个平台运行的嵌入式Web服务器，可以说是目前世界上最流行的微型嵌入式Web服务器。

漏洞描述

CVE-2019-5096, 部分版本的GoAhead设备在处理multi-part/form-data一类请求时存在一个远程命令执行漏洞。未经身份验证的攻击者发送的恶意HTTP请求可能触发Use-After-Free，破坏堆结构，导致任意命令执行。恶意请求可以以GET或POST请求的形式存在，并且所请求的资源不需要真实存在于目标服务器上。

CVE-2019-5097，未经身份验证的攻击者通过发送恶意HTTP请求进行拒绝服务（DoS）攻击。GoAhead Web服务器的应用在处理multi-part/form-data一类请求时存在一个拒绝服务漏洞。一个恶意HTTP请求可能导致服务器处理流程进入死循环。恶意请求可以以GET或POST请求的形式存在，并且所请求的资源不需要存在于目标服务器上。