ProFTPd में गंभीर भेद्यता

ProFTPD ftp सर्वर में पहचान की खतरनाक भेद्यता (CVE-2019-12815), जो आपको "साइट सीपीएफआर" और "साइट सीपीटीओ" कमांड का उपयोग करके प्रमाणीकरण के बिना सर्वर के भीतर फ़ाइलों की प्रतिलिपि बनाने की अनुमति देता है। संकट सौंपा गया खतरे का स्तर 9.8 में से 10 है, क्योंकि इसका उपयोग एफ़टीपी तक अनाम पहुंच प्रदान करते हुए रिमोट कोड निष्पादन को व्यवस्थित करने के लिए किया जा सकता है।

भेद्यता वजह mod_copy मॉड्यूल में डेटा पढ़ने और लिखने (पढ़ने की सीमा और लिखने की सीमा) के लिए पहुंच प्रतिबंधों की गलत जांच, जिसका उपयोग डिफ़ॉल्ट रूप से किया जाता है और अधिकांश वितरणों के लिए proftpd पैकेज में सक्षम किया जाता है। यह उल्लेखनीय है कि भेद्यता एक ऐसी ही समस्या का परिणाम है जिसे पूरी तरह से हल नहीं किया गया है, पहचान की 2015 में, जिसके लिए अब नए आक्रमण वैक्टर की पहचान की गई है। इसके अलावा, समस्या के बारे में पिछले साल सितंबर में डेवलपर्स को बताया गया था, लेकिन पैच ठीक हो गया था तैयार अभी कुछ दिन पहले.

समस्या ProFTPd 1.3.6 और 1.3.5d के नवीनतम वर्तमान रिलीज़ में भी दिखाई देती है। फिक्स इस प्रकार उपलब्ध है पैबंद. सुरक्षा समाधान के रूप में, कॉन्फ़िगरेशन में mod_copy को अक्षम करने की अनुशंसा की जाती है। भेद्यता को अब तक केवल में ही ठीक किया गया है फेडोरा और अशोधित रहता है डेबियन, एसयूएसई/ओपनएसयूएसई, Ubuntu, FreeBSD, ईपीईएल-7 (ProFTPD को मुख्य RHEL रिपॉजिटरी में आपूर्ति नहीं की गई है, और EPEL-6 का पैकेज समस्या से प्रभावित नहीं है क्योंकि इसमें mod_copy शामिल नहीं है)।

स्रोत: opennet.ru