ProFTPD se trata de una de las
aplicaciones FTP de código abierto más famosas que existen. Actualmente corre
en más de un millón de servidores en todo el mundo. La vulnerabilidad permite
la copia arbitraria de archivos saltándose las restricciones en cuanto a permisos
de escritura se refiere.
La vulnerabilidad ha sido clasificada
con el CVE-2019-12815 y, pese a que el fabricante reporta que las versiones
afectadas sólo llegan hasta la 1.3.5b, el investigador que ha descubierto el
fallo, Tobias Mädel, afirma en su web que la vulnerabilidad afecta también a la
versión 1.3.6.
La vulnerabilidad reside en el módulo
mod_copy de la aplicación. Se trata de un componente del código encargado de
gestionar la copia de archivos de un directorio a otro sin devolver los datos
de nuevo al cliente. Según el investigador alemán, un manejo incorrecto de los
controles de acceso por parte del módulo es lo que permite que un usuario
autenticado pueda copiar archivos a directorios del servidor FTP donde no tiene
permisos de escritura.
Adicionalmente, el investigador
reporta que en algunos escenarios, la vulnerabilidad puede conducir a ejecución
remota de código o a filtración de información sensible. Sin embargo, las
condiciones en las que puede producirse una ejecución de código son extremadamente
situacionales, poco comunes e involucran, entre otras cosas, la existencia de
un entorno que ejecute código PHP y la posibilidad de tener permisos de
escritura previos en algún directorio del servidor.
Es importante recordar que, aunque el
módulo afectado es un componente que viene por defecto en todas las versiones
de ProFTPD y, por ende, afecta potencialmente a un número muy elevado de
servidores, la vulnerabilidad requiere un inicio de sesión exitoso para ser
explotada. Esto es, sólo un usuario legítimamente autenticado puede aprovechar
este fallo de seguridad.
El investigador comenta que la
vulnerabilidad fue reportada hace más de nueves meses, pero los desarrolladores
encargados del mantenimiento de la aplicación open source no han proporcionado
respuesta alguna ante sus avisos. Por otro lado, ProFTPD ya adolecía de una
vulnerabilidad similar reportada en 2015 que afectaba a la versión 1.3.5.
Las versiones anteriores a 1.3.6 ya
tienen un parche de seguridad oficial para mitigar la vulnerabilidad, no así la
versión 1.3.6, para la que el investigador recomienda, como mitigación
temporal, deshabilitar el módulo mod_copy en sus servidores en su archivo de
configuración, hasta que los desarrolladores encargados del proyecto liberen el
parche oficial.
Más información:
·
ProFTPd
mod_copy – arbitrary file copy with improper access control https://tbspace.de/cve201912815proftpd.html
·
CVE-2019-12815
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12815
Fuente: Hispasec
