ភាពងាយរងគ្រោះសំខាន់នៅក្នុង ProFTPd

នៅក្នុងម៉ាស៊ីនមេ ProFTPD ftp កំណត់អត្តសញ្ញាណ ភាពងាយរងគ្រោះគ្រោះថ្នាក់ (CVE-2019-12815) ដែលអនុញ្ញាតឱ្យអ្នកចម្លងឯកសារនៅក្នុងម៉ាស៊ីនមេដោយមិនមានការផ្ទៀងផ្ទាត់ដោយប្រើពាក្យបញ្ជា "site cpfr" និង "site cpto" ។ បញ្ហា ចាត់តាំង កម្រិតគ្រោះថ្នាក់ 9.8 ក្នុងចំណោម 10 ព្រោះវាអាចត្រូវបានប្រើដើម្បីរៀបចំការប្រតិបត្តិកូដពីចម្ងាយ ខណៈពេលដែលផ្តល់នូវការចូលប្រើដោយអនាមិកទៅ FTP ។

ភាពងាយរងគ្រោះ បង្កឡើង ការត្រួតពិនិត្យមិនត្រឹមត្រូវនៃការរឹតបន្តឹងការចូលប្រើសម្រាប់ការអាន និងសរសេរទិន្នន័យ (កំណត់អាន និងកំណត់សរសេរ) នៅក្នុងម៉ូឌុល mod_copy ដែលត្រូវបានប្រើតាមលំនាំដើម និងបើកដំណើរការក្នុងកញ្ចប់ proftpd សម្រាប់ការចែកចាយភាគច្រើន។ វាគួរឱ្យកត់សម្គាល់ថាភាពងាយរងគ្រោះគឺជាផលវិបាកនៃបញ្ហាស្រដៀងគ្នាដែលមិនត្រូវបានដោះស្រាយទាំងស្រុង។ កំណត់អត្តសញ្ញាណ ក្នុងឆ្នាំ 2015 ដែលវ៉ិចទ័រវាយប្រហារថ្មីត្រូវបានគេកំណត់អត្តសញ្ញាណ។ ជាងនេះទៅទៀត បញ្ហាត្រូវបានរាយការណ៍ទៅអ្នកអភិវឌ្ឍន៍វិញកាលពីខែកញ្ញាឆ្នាំមុន ប៉ុន្តែបំណះគឺ រៀបចំ ប៉ុន្មានថ្ងៃមុននេះ។

បញ្ហាក៏លេចឡើងនៅក្នុងការចេញផ្សាយចុងក្រោយបំផុតនៃ ProFTPd 1.3.6 និង 1.3.5d ។ ការ​ជួសជុល​គឺ​មាន​ដូច​ជា​ បំណះ. ជាដំណោះស្រាយសុវត្ថិភាព វាត្រូវបានណែនាំឱ្យបិទ mod_copy នៅក្នុងការកំណត់រចនាសម្ព័ន្ធ។ រហូតមកដល់ពេលនេះ ភាពងាយរងគ្រោះត្រូវបានជួសជុលតែនៅក្នុង Fedora ហើយនៅតែមិនបានកែ ដេបៀន, SUSE/openSUSE, គូប៊ុនទូ, FreeBSD, EPEL-7 (ProFTPD មិនត្រូវបានផ្គត់ផ្គង់នៅក្នុងឃ្លាំង RHEL សំខាន់ទេ ហើយកញ្ចប់ពី EPEL-6 មិនត្រូវបានប៉ះពាល់ដោយបញ្ហានោះទេព្រោះវាមិនរួមបញ្ចូល mod_copy) ។

ប្រភព: opennet.ru