V ProFTPd (populárny ftp-server) bola zistená kritická zraniteľnosť (CVE-2019-12815). Jej využitie umožňuje kopírovať súbory v rámci servera bez autentifikácie pomocou príkazov „site cpfr“ a „site cpto“, vrátane serverov s anonymným prístupom.
Zraniteľnosť je spôsobená nesprávnou kontrolou obmedzení prístupu na čítanie a zápis údajov (Limit READ a Limit WRITE) vmodule mod_copy, ktorý je prednastavený a je zahrnutý v balíkoch proftpd pre väčšinu distribúcií.
Zraniteľnosti sú prítomné vo všetkých aktuálnych verziách vo všetkých distribúciách, okrem Fedory. Oprava je momentálne k dispozícii vo forme patchu. Ako dočasné riešenie sa odporúča deaktivovať mod_copy.
Zdroj: linux.org.ru
