В ProFTPd (популярный ftp-server) выявлена критическая уязвимость (CVE-2019-12815). Эксплуатация позволяет копировать файлы в пределах сервера без аутентификации при помощи команд «site cpfr» и «site cpto», в том числе и на серверах с анонимным доступом.
Haavatavus on tingitud ebaõigest juurdepääsupiirangute kontrollimisest lugemis- ja kirjutamisõiguste (Limit READ ja Limit WRITE) osas mod_copy modulis, mis on vaikimisi aktiivne ja kaasatud proftpd pakettidesse enamiku distributsioonide jaoks.
Kõik toetatud versioonid kõikides distributsioonides, välja arvatud Fedora, on haavatavad. Praeguseks on parandamine saadaval kujul patch. Ajutiseks lahenduseks soovitatakse mod_copy välja lülitada.
Allikas: linux.org.ru
