Aktywnie wykorzystywana w atakach

Progress WS_FTP Server Deserialization of Untrusted Data Vulnerability

Progress - WS_FTP Server · Figuruje w katalogu CISA KEV od 2023-10-05. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

CVE-2023-40044

KrytyczneCVSS 10.0KEV

Opublikowano: 27/09/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

W serwerze WS_FTP Server w wersjach wcześniejszych niż 8.7.4 i 8.8.2, nieuwierzytelniony atakujący może wykorzystać podatność na deserializację .NET w module Ad Hoc Transfer do wykonania zdalnych poleceń na systemie operacyjnym serwera WS_FTP.

Ocena ryzyka

Atakujący bez uwierzytelnienia może wykonać dowolne polecenia na serwerze WS_FTP, co może prowadzić do pełnej kompromitacji systemu i naruszenia poufności przesyłanych plików.

Rekomendacja

Zaktualizuj WS_FTP Server do wersji 8.7.4 lub 8.8.2 (lub nowszej). Ogranicz dostęp do modułu Ad Hoc Transfer tylko dla zaufanych użytkowników.

Inne podatności w WS_FTP Server

CVE-1999-0362Średnie
Serwer WS_FTP jest podatny na zdalny atak typu denial of service (DoS) poprzez wykorzystanie komendy cwd.

Oryginalny opis (angielski, źródło NVD)

In WS_FTP Server versions prior to 8.7.4 and 8.8.2, a pre-authenticated attacker could leverage a .NET deserialization vulnerability in the Ad Hoc Transfer module to execute remote commands on the underlying WS_FTP Server operating system.