⬇ Scarica il santino: ·
⚔ Oggi si commemora: Il flagello rosso di Code Red (2001)⚔ Oggi si commemora: Il venerdì delle schermate blu (2024)San LOBSTER, che caricava file e cucinava codice
Patrono delle librerie di upload, di Apache Struts e dei file temporanei che restano quando non dovrebbero.
Vita
Nel 2016 Jacob Baines di Tenable rivelò LOBSTER (CVE-2016-1000031), un difetto nella libreria Apache Commons FileUpload, usata da Struts 2 per gestire i file caricati. L'oggetto DiskFileItem poteva essere manipolato per scrivere file dove non doveva ed eseguire codice da remoto. La correzione arrivò con Commons FileUpload 1.3.3, pur tra discussioni su chi dovesse davvero sistemarlo.
Preghiera
O San LOBSTER, che cucini codice con i file caricati, insegna alle nostre librerie a non scrivere mai fuori dal piatto. Amen.
Come si festeggia
Si festeggia aggiornando Commons FileUpload alla 1.3.3 e, in Struts, sostituendo il vecchio JAR con quello corretto.
File caricato senza controllo, cena servita all'attaccante.