漏洞风险提示 | GoAhead Web Server 远程代码执行漏洞（CVE-2019-5096）

12 月 2 日，Cisco Talos 发布报告，指出 GoAhead Web Server 存在一个远程代码执行漏洞 CVE-2019-5096：

https://talosintelligence.com/vulnerability_reports/TALOS-2019-0888

GoAhead Web Server 是由 EmbedThis 开发的嵌入式 Web 服务器，在物联网领域应用非常广泛。

来自Cisco Talos 的安全研究员发现，GoAhead Web Server 在处理 multipart/form-data 类型的 HTTP 请求时存在代码执行漏洞：精心构造的恶意请求将会触发 use-after-free 来破坏堆结构，最终导致代码执行。进行漏洞利用的攻击请求可以在未授权的情况下以 GET 或 POST 的形式发送，且并不要求请求资源真实存在于服务端。

· GoAhead Web Server v5.0.1

· GoAhead Web Server v4.1.1

· GoAhead Web Server v3.6.5