Критическая уязвимость в FTP сервере ProFTPd
В ftp-сервере ProFTPD выявлена опасная уязвимость (CVE-2019-12815), которая позволяет копировать файлы в пределах сервера без проведения аутентификации с помощью команд "site cpfr" и "site cpto". Проблеме присвоен высокий уровень опасности , так как она может применяться для организации удалённого выполнения кода при предоставлении анонимного доступа к FTP, злоумышленник может получить полный доступ к серверу. Если вы используете ProFTPD на своих серверах на Linux, то нужно либо внести ограничения, они описаны ниже, либо установить патч.
Уязвимость вызвана некорректной проверкой ограничений доступа на чтение и запись данных (Limit READ и Limit WRITE) в модуле mod_copy, который применяется по умолчанию и включён в пакетах proftpd для большинства дистрибутивов.
Примечательно, что уязвимость является следствием не полностью устранённой аналогичной проблемы, выявленной в 2015 году, для которой теперь выявлены новые векторы для атаки. Более того, о проблеме было сообщено разработчикам ещё в сентябре прошлого года, но патч был подготовлен только несколько дней назад.
Проблема проявляется в том числе в последних актуальных выпусках ProFTPd 1.3.6 и 1.3.5d. В качестве обходного пути защиты рекомендуется отключить mod_copy в конфигурации. Уязвимость пока устранена только в Fedora и остаётся неисправленной в Debian, SUSE/openSUSE, Ubuntu, FreeBSD, EPEL-7 (ProFTPD не поставляется в основном репозитории RHEL, а пакет из EPEL-6 не подвержен проблеме, так как не включает mod_copy).
Как устранить уязвимость ProFTPD? Необходимо скачать и установить патч
Источник
Как правильно подобрать тип процессора и особенности распределения ядер по виртуальным серверам для размещения 1С в облаке и избежать частых ошибок, получив при этом максимальное быстродействие.
18 апреля, 2024Обзор ключевых анонсов и трендов по следам Intel Vision 2024
Еще больше искусственного интеллекта в вычислениях, новые анонсы, а также появление нового поколения Intel Xeon 6 в облачных средах уже в следующем году!
11 апреля, 2024Федеральная сеть аптек «Я+аптека» улучшила работу учетных систем в облаке mClouds.ru
Помогли федеральной сети аптек перенести учетную систему в облако на базе VMware, улучшить её производительность и доступность.
10 апреля, 2024