In ProFTPd (un server FTP popolare) è stata identificata una vulnerabilità critica (CVE-2019-12815). Sfruttarla consente di copiare file all'interno del server senza autenticazione utilizzando i comandi «site cpfr» e «site cpto», anche su server con accesso anonimo.
La vulnerabilità è causata da un controllo errato delle restrizioni di accesso per la lettura e la scrittura dei dati (Limit READ e Limit WRITE) nel modulo mod_copy, che viene utilizzato per impostazione predefinita ed è incluso nei pacchetti proftpd per la maggior parte delle distribuzioni.
Tutte le versioni attuali in tutte le distribuzioni sono vulnerabili, ad eccezione di Fedora. Attualmente, una correzione è disponibile sotto forma di patch. Come soluzione temporanea, si consiglia di disattivare mod_copy.
Fonte: linux.org.ru
