Podatności ProFTPD

Podatność w module mod_sql w ProFTPD przed wersją 1.3.9a umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez nazwę użytkownika, gdy rejestrowane są żądania USER z rozwinięciem takim jak %U, a backend SQL pozwala na wykonywanie poleceń (np. COPY TO PROGRAM).

W oficjalnym pakiecie źródłowym ProFTPD 1.3.3c, dystrybuowanym między 28 listopada a 2 grudnia 2010 roku, umieszczono złośliwe backdoory. Backdoor implementuje ukryte polecenie FTP, które po wywołaniu pozwala na zdalne wykonanie dowolnych poleceń systemowych z uprawnieniami roota.

ProFTPD do wersji 1.3.9e oraz 1.3.10rc1 do 1.3.10rc4 zawiera podatność podążania za dowiązaniami w mod_copy, pozwalającą uwierzytelnionym użytkownikom FTP obejść ograniczenia Limit WRITE poprzez dowiązania symboliczne. Atakujący może umieścić dowiązanie w katalogu z prawem zapisu i użyć SITE COPY lub SITE CPTO do nadpisania plików w lokalizacjach bez prawa zapisu.

ProFTPD w wersjach przed 1.3.9e i 1.3.10rc5 zawiera obejście autoryzacji w obsłudze rozszerzenia kopiowania plików mod_sftp, które pomija sprawdzenia Limit WRITE dla nowych plików docelowych. Uwierzytelnieni użytkownicy SFTP mogą skopiować dowolny czytelny plik do nowej ścieżki w katalogach bez prawa zapisu, tworząc pliki tam, gdzie przesyłanie jest zabronione.

ProFTPD w wersjach przed 1.3.9e i 1.3.10rc5 zawiera podatność przepełnienia bufora w RewriteMap int:utf8trans modułu mod_rewrite, pozwalającą zdalnym atakującym nadpisać statyczne bufory. Atakujący może wysłać argumenty poleceń FTP dłuższe niż 1024 bajty, bez uwierzytelnienia jeśli polecenia przed logowaniem są przepisywane, aby uszkodzić pamięć sesji i spowodować awarię sesji.

ProFTPD przed wersjami 1.3.9c i 1.3.10rc3 zawiera podatność przepełnienia liczby całkowitej ze znakiem w parserze rozmiaru rekordu SCP modułu mod_sftp. Umożliwia to uwierzytelnionym atakującym z niskimi uprawnieniami ominięcie ASLR poprzez wysłanie spreparowanej wartości rozmiaru pliku UINT64_MAX, co skutkuje ujemną wartością off_t. Atakujący mogą wykorzystać konwersję do uint32_t, powodując żądanie odczytu około 4 GB i zmuszając serwer do odczytu poza danymi kanału SSH, zapisując nadmiarową pamięć procesu do przesłanego pliku. Ujawnione dane zawierają wskaźniki libc, libcrypto i PIE, umożliwiające ominięcie ASLR.

ProFTPD przed wersjami 1.3.9c i 1.3.10rc3 zawiera podatność na przepełnienie bufora sterty w module mod_sftp, która pozwala uwierzytelnionym atakującym o niskich uprawnieniach na osiągnięcie dowolnego wykonania kodu poprzez wysłanie spreparowanych fragmentów pakietów SFTP przekraczających 16 KB bufora reassembly w komponencie fxp.c. Atakujący mogą dostarczyć zbyt duże fragmenty, aby wywołać nieprawidłowo uwarunkowaną realokację, uszkodzić metadane listy wolnych pul, nadpisać globalny wskaźnik BSS root_fs, aby wskazywał na fałszywą strukturę systemu plików, i przekierować pr_fsio_stat() do system() za pomocą spreparowanego żądania RENAME.

Podatność przepełnienia bufora sterty w ProFTPD mod_sftp. Uwierzytelniony użytkownik SFTP może wysłać pakiet SFTP z długością 0, co powoduje niedomiar i przepełnienie bufora, prowadząc do awarii sesji lub potencjalnie dalszych konsekwencji.

Podatność w serwerze FTP ProFTPD (do wersji 1.3.9b i 1.3.10rc2) umożliwia uwierzytelnionym użytkownikom ominięcie ograniczeń ACL katalogów poprzez dodanie prefiksu /proc/self/root do ścieżki w komendzie RNFR. Atakujący może wykorzystać nierozwiązane dowiązania symboliczne w funkcji dir_canonical_path(), aby dir_check() wykonał porównanie leksykalne ścieżki, które nie pasuje do żadnego skonfigurowanego bloku Directory, co pozwala na zmianę nazwy plików w katalogach chronionych przez DenyAll i późniejsze ich pobranie.

W ProFTPD do wersji 1.3.9a przed commit 7666224 występuje podatność na iniekcję SQL w funkcji sqltab_fetch_clients_cb() w pliku contrib/mod_wrap2_sql.c. Gdy włączona jest opcja UseReverseDNS on, atakujący może dostarczyć spreparowaną nazwę domeny, która bez oczyszczenia trafia do zapytań SQL, umożliwiając zdalne wstrzyknięcie dowolnych poleceń SQL.