ProFTPd मा महत्वपूर्ण जोखिम

ProFTPD ftp सर्भरमा पहिचान गरियो खतरनाक जोखिम (CVE-2019-12815), जसले तपाइँलाई "साइट cpfr" र "साइट cpto" आदेशहरू प्रयोग गरेर प्रमाणीकरण बिना सर्भर भित्र फाइलहरू प्रतिलिपि गर्न अनुमति दिन्छ। समस्या तोकिएको खतरा स्तर 9.8 मध्ये 10, किनभने यो FTP मा अज्ञात पहुँच प्रदान गर्दा रिमोट कोड कार्यान्वयन व्यवस्थित गर्न प्रयोग गर्न सकिन्छ।

कमजोरी कारण mod_copy मोड्युलमा डेटा पढ्न र लेख्नका लागि पहुँच प्रतिबन्धहरूको गलत जाँच (लिमिट READ र Limit WRITE), जुन पूर्वनिर्धारित रूपमा प्रयोग गरिन्छ र धेरै वितरणहरूको लागि proftpd प्याकेजहरूमा सक्षम हुन्छ। यो उल्लेखनीय छ कि भेद्यता एक समान समस्या को एक परिणाम हो जुन पूर्ण रूपमा समाधान गरिएको छैन, पहिचान गरियो 2015 मा, जसको लागि नयाँ आक्रमण भेक्टरहरू अब पहिचान गरिएको छ। यसबाहेक, समस्या विकासकर्ताहरूलाई गत वर्ष सेप्टेम्बरमा रिपोर्ट गरिएको थियो, तर प्याच थियो तयार केही दिन अघि मात्रै ।

समस्या ProFTPd 1.3.6 र 1.3.5d को पछिल्लो वर्तमान रिलीजहरूमा पनि देखिन्छ। फिक्स को रूपमा उपलब्ध छ प्याच। सुरक्षा उपायको रूपमा, कन्फिगरेसनमा mod_copy असक्षम गर्न सिफारिस गरिन्छ। कमजोरी अहिले सम्म मात्र मा फिक्स गरिएको छ फेडोरा र असुधारित रहन्छ Debian, SUSE/openSUSE, Ubuntu, फ्रिबिएसडि, EPEL-7 (ProFTPD मुख्य RHEL भण्डारमा आपूर्ति गरिएको छैन, र EPEL-6 बाट प्याकेज समस्याबाट प्रभावित छैन किनभने यसले mod_copy समावेश गर्दैन)।

स्रोत: opennet.ru