В рамках программы информирования банковского сообщества о значимых угрозах безопасности, компания Digital Security, специализирующаяся на анализе защищенности систем, предупреждает об обнаружении критической уязвимости в популярном FTP-сервере ProFTPD, позволяющей копировать файлы в пределах одного сервера без аутентификации. Уязвимыми являются команды site cpfr и site cpto в модуле mod_copy, который можно отключить только во время сборки. Поскольку ProFTPD сегодня - один из трех самых популярных FTP-серверов для Linux, и часто используется на боевых серверах, мы рекомендуем как можно скорее проверить ресурсы на наличие данной проблемы и своевременно устранить ее.
Используя указанную уязвимость, злоумышленник может копировать недоступные извне файлы в директорию веб-сервера, чтобы потом скачать их. Также атакующий способен перенаправить поток ошибок FTP-сервера в файл, что может привести к выполнению произвольного PHP-кода. При определенных условиях, злоумышленник с помощью уязвимостей получает возможность скопировать различные настройки, файлы базы данных. Под угрозой находятся данные тысяч пользователей.
Уязвимость была обнаружена 7 апреля 2015 года одним из российских исследователей. На данный момент, исправление уязвимости доступно только в виде патча: https://github.com/proftp
Проверить наличие уязвимости можно вручную, подключившись к порту 21 через утилиту telnet:
% telnet 1.2.3.4 21
Trying 1.2.3.4...
Connected to 1.2.3.4.
Escape character is '^]'.
220 ProFTPD 1.3.5rc3 Server (Debian) 1.2.3.4
site cpfr /etc/passwd
350 File or directory exists, ready for destination name
site cpto /usr/share/nginx/html/pas
250 Copy successful
