GoAhead Web Server是为嵌入式实时操作系统（RTOS）量身定制的开源Web服务器。很多国际一线大厂商，包括IBM、HP、Oracle、波音、D-link、摩托罗拉等，都在其产品中使用了GoAhead，使用GoAhead的设备包括智能手机、宽带接入路由器、数字电视机顶盒等。
近日，安全研究人员发现如果启用了CGI并且动态链接了CGI程序的话，GoAhead中的安全漏洞可能允许远程执行任意代码。漏洞的起因是cgi.c文件中的cgiHandler函数使用了不可信任的HTTP请求参数初始化已fork的CGI脚本的环境。结合glibc动态链接器，攻击者就可以使用特殊的环境变量（如LD_PRELOAD）导致执行任意代码。
漏洞描述及修补
近日GoAhead官方发出安全公告，服务器通过GET参数设置环境变量导致了恶意LD_PRELOAD环境变量设置，进而使得漏洞攻击者获得远程命令执行的权限，影响不容小觑。
GoAhead官方发布了新版本3.6.5，对漏洞进行了补丁修复。
漏洞危害
攻击者可以直接在服务器上远程执行命令，获取服务器上所有数据。
影响版本
GoAhead 3.6.5之前版本
具体为：2.5.0 – 3.6.4
漏洞利用前置条件
服务器启用CGI且CGI需动态链接。
需要已知服务器的架构，从而上传相对应的动态链接库文件。
来源：
安恒信息
http://www1.dbappsecurity.com.cn/trends_main.aspx?id=3079278ECC53E2B0