ProFTPD任意讀取和寫入文件漏洞安全通告
發布時間 2019-07-23漏洞編號和級別
CVE編號：CVE-2019-12815，危險級別：嚴重，CVSS分值：官方未評定
影響版本
受影響的版本
ProFTPD 1.3.5b及之前版本
漏洞概述
ProFTPD是ProFTPD團隊的一套安全云打印解決方案。該方案支持從筆記本電腦、臺式機和移動設備連接打印機進行打印。
ProFTPD存在任意讀取和寫入文件漏洞。遠程攻擊者可利用該漏洞未經身份驗證便可執行代碼并泄露信息。
漏洞出現在mod_copy模塊中，它是在ProFTPd的默認安裝中提供的，并且在大多數發行版（例如Debian）中默認啟用，因為mod_copy模塊的自定義CPFR和CPTO命令不按預期進行配置，導致向ProFTPd服務器發出CPFR，CPTO命令允許沒有寫權限的用戶復制FTP服務器上的任何文件。
根據Shodan的搜索結果，目前有超過一百萬個未修補的ProFTPd服務器。
漏洞驗證
暫無POC/EXP。
修復建議
目前廠商已發布升級補丁以修復漏洞，補丁獲取鏈接：http://bugs.proftpd.org/show_bug.cgi?id=4372。
緩解措施：
禁用ProFTPd配置文件中的mod_copy模塊。
參考鏈接
京公網安備11010802024551號