ProFTPd-এ গুরুতর দুর্বলতা

ProFTPD ftp সার্ভারে চিহ্নিত বিপজ্জনক দুর্বলতা (জন্য CVE-2019-12815), যা আপনাকে “site cpfr” এবং “site cpto” কমান্ড ব্যবহার করে প্রমাণীকরণ ছাড়াই সার্ভারের মধ্যে ফাইল কপি করতে দেয়। সমস্যা বরাদ্দ বিপদের মাত্রা 9.8-এর মধ্যে 10, যেহেতু এটি FTP-তে বেনামী অ্যাক্সেস প্রদান করার সময় দূরবর্তী কোড এক্সিকিউশন সংগঠিত করতে ব্যবহার করা যেতে পারে।

ক্ষতিগ্রস্থতা সৃষ্ট mod_copy মডিউলে ডেটা পড়া এবং লেখার জন্য অ্যাক্সেস সীমাবদ্ধতার ভুল পরীক্ষা (লিমিট রিড এবং লিমিট লিখুন), যা ডিফল্টরূপে ব্যবহৃত হয় এবং বেশিরভাগ ডিস্ট্রিবিউশনের জন্য proftpd প্যাকেজে সক্রিয় করা হয়। এটি লক্ষণীয় যে দুর্বলতা একটি অনুরূপ সমস্যার পরিণতি যা সম্পূর্ণরূপে সমাধান করা হয়নি, চিহ্নিত 2015 সালে, যার জন্য নতুন আক্রমণ ভেক্টর এখন চিহ্নিত করা হয়েছে। তাছাড়া গত বছরের সেপ্টেম্বরে ডেভেলপারদের কাছে সমস্যার কথা জানানো হলেও প্যাচ ছিল প্রস্তুত মাত্র কয়েকদিন আগে।

ProFTPd 1.3.6 এবং 1.3.5d-এর সাম্প্রতিক বর্তমান রিলিজেও সমস্যাটি দেখা যায়। ফিক্স হিসাবে উপলব্ধ প্যাচ. একটি নিরাপত্তা সমাধান হিসাবে, কনফিগারেশনে mod_copy নিষ্ক্রিয় করার সুপারিশ করা হয়। দুর্বলতা এ পর্যন্ত শুধুমাত্র সংশোধন করা হয়েছে ফেডোরা এবং অপরিশোধিত থেকে যায় ডেবিয়ান, SUSE/openSUSE, উবুন্টু, FreeBSD 'র, EPEL-7 (প্রোএফটিপিডি প্রধান RHEL সংগ্রহস্থলে সরবরাহ করা হয় না, এবং EPEL-6 এর প্যাকেজ সমস্যা দ্বারা প্রভাবিত হয় না কারণ এতে mod_copy অন্তর্ভুক্ত নয়)।

উত্স: opennet.ru