• 漏洞编号：CVE-2024-39943
• 漏洞等级：高危
• 漏洞标签：暂无
• 发布时间：2024-07-08

漏洞描述

Rejetto HFS（又名HTTP文件服务器）在Linux、UNIX和macOS上的版本低于0.52.10存在一个漏洞，允许远程认证用户执行操作系统命令（如果他们拥有上传权限）。这是因为使用shell来执行df命令，具体是在Node.js的child_process中使用execSync而不是spawnSync来执行命令。

通过post请求~/api/create_folder路径创建name的目录{"uri":"/tmp/","name":"poc\";touch /tmp/pwn"}之后通过访问~/api/get_ls?path=poc";touch /tmp/pwn 触发命令执行。

修复建议

更新到最新版本

参考链接

https://www.seebug.org/vuldb/ssvid-99858