CVE-2026-35025
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Podatność w serwerze FTP ProFTPD (do wersji 1.3.9b i 1.3.10rc2) umożliwia uwierzytelnionym użytkownikom ominięcie ograniczeń ACL katalogów poprzez dodanie prefiksu /proc/self/root do ścieżki w komendzie RNFR. Atakujący może wykorzystać nierozwiązane dowiązania symboliczne w funkcji dir_canonical_path(), aby dir_check() wykonał porównanie leksykalne ścieżki, które nie pasuje do żadnego skonfigurowanego bloku Directory, co pozwala na zmianę nazwy plików w katalogach chronionych przez DenyAll i późniejsze ich pobranie.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do plików w katalogach chronionych przez reguły DenyAll, co może prowadzić do wycieku poufnych danych. Atak wymaga uwierzytelnienia, ale może być przeprowadzony przez każdego zalogowanego użytkownika FTP.
Rekomendacja
Należy natychmiast zaktualizować ProFTPD do wersji 1.3.9c lub nowszej, która zawiera poprawkę. Jako tymczasowe zabezpieczenie można skonfigurować DefaultRoot (chroot) dla wszystkich sesji FTP, co uniemożliwia wykorzystanie podatności.
Inne podatności w ProFTPD
Zobacz wszystkie- CVE-2015-3306Wysokie
Moduł mod_copy w ProFTPD 1.3.5 pozwala zdalnym atakującym na odczyt i zapis do dowolnych plików za pomocą poleceń site cpfr i site cpto.
- CVE-2026-42167Wysokie
Podatność w module mod_sql w ProFTPD przed wersją 1.3.9a umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez nazwę użytkownika, gdy rejestrowane są żądania USER z rozwinięciem takim jak %U, a backend SQL pozwala na wykonywanie poleceń (np. COPY TO PROGRAM).
- CVE-2010-20103Krytyczne
W oficjalnym pakiecie źródłowym ProFTPD 1.3.3c, dystrybuowanym między 28 listopada a 2 grudnia 2010 roku, umieszczono złośliwe backdoory. Backdoor implementuje ukryte polecenie FTP, które po wywołaniu pozwala na zdalne wykonanie dowolnych poleceń systemowych z uprawnieniami roota.
- CVE-2026-63091Średnie
ProFTPD przed wersjami 1.3.9c i 1.3.10rc3 zawiera podatność przepełnienia liczby całkowitej ze znakiem w parserze rozmiaru rekordu SCP modułu mod_sftp. Umożliwia to uwierzytelnionym atakującym z niskimi uprawnieniami ominięcie ASLR poprzez wysłanie spreparowanej wartości rozmiaru pliku UINT64_MAX, co skutkuje ujemną wartością off_t. Atakujący mogą wykorzystać konwersję do uint32_t, powodując żądanie odczytu około 4 GB i zmuszając serwer do odczytu poza danymi kanału SSH, zapisując nadmiarową pamięć procesu do przesłanego pliku. Ujawnione dane zawierają wskaźniki libc, libcrypto i PIE, umożliwiające ominięcie ASLR.
- CVE-2026-63090Wysokie
ProFTPD przed wersjami 1.3.9c i 1.3.10rc3 zawiera podatność na przepełnienie bufora sterty w module mod_sftp, która pozwala uwierzytelnionym atakującym o niskich uprawnieniach na osiągnięcie dowolnego wykonania kodu poprzez wysłanie spreparowanych fragmentów pakietów SFTP przekraczających 16 KB bufora reassembly w komponencie fxp.c. Atakujący mogą dostarczyć zbyt duże fragmenty, aby wywołać nieprawidłowo uwarunkowaną realokację, uszkodzić metadane listy wolnych pul, nadpisać globalny wskaźnik BSS root_fs, aby wskazywał na fałszywą strukturę systemu plików, i przekierować pr_fsio_stat() do system() za pomocą spreparowanego żądania RENAME.
- CVE-2026-53994Wysokie
Podatność przepełnienia bufora sterty w ProFTPD mod_sftp. Uwierzytelniony użytkownik SFTP może wysłać pakiet SFTP z długością 0, co powoduje niedomiar i przepełnienie bufora, prowadząc do awarii sesji lub potencjalnie dalszych konsekwencji.
- CVE-2026-44331Wysokie
W ProFTPD do wersji 1.3.9a przed commit 7666224 występuje podatność na iniekcję SQL w funkcji sqltab_fetch_clients_cb() w pliku contrib/mod_wrap2_sql.c. Gdy włączona jest opcja UseReverseDNS on, atakujący może dostarczyć spreparowaną nazwę domeny, która bez oczyszczenia trafia do zapytań SQL, umożliwiając zdalne wstrzyknięcie dowolnych poleceń SQL.
Oryginalny opis (angielski, źródło NVD)
ProFTPD through 1.3.9b and 1.3.10rc2 contains an access control bypass vulnerability that allows authenticated FTP users to circumvent Directory ACL restrictions by prefixing paths with /proc/self/root in the RNFR command handler. Attackers can exploit the unresolved symlink components in dir_canonical_path() to cause dir_check() to perform lexical path comparisons that match no configured Directory block, enabling rename operations on files in DenyAll-protected directories and subsequent retrieval of those files. Mitigation: Sessions configured with DefaultRoot (chroot) are not affected, as chroot changes the directory to which /proc/self/root resolves.