Уязвимость в ProFTPD позволяет неавторизованно изменить данные
Проэксплуатировав брешь, злоумышленник может скопировать произвольные файлы без прохождения аутентификации.
В FTP-сервере ProFTPD была обнаружена уязвимость, позволяющая удаленному пользователю неавторизованно изменить данные. Она существует из-за ошибки в модуле mod_copy, вследствие которой команды выполняются до проведения аутентификации. Из-за этого удаленный пользователь может копировать произвольные файлы на сервере с помощью команд “site cpfr” и “site cpto” без аутентификации. Брешь невозможно устранить без применения обновления, поскольку модуль mod_copy является неотключаемым.
Разработчик исправил уязвимость в репозитории исходного кода проекта. Вместе с этим для ProFTPD была предложена реализация CopyEngine, позволяющая отключить mod_copy без необходимости повторной компиляции проекта. На данный момент наиболее распространенные дистрибутивы еще не включили обновленные пакеты с исправленной уязвимостью.
Уязвимость была обнаружена специалистами российской компании Digital Security.
Подробное описание уязвимости доступно здесь .
Устали от того, что Интернет знает о вас все?