ProFTPD の脆弱性 CVE-2023-51713／CVE-2023-48795 が FIX

CVE-2023-51713: A DoS Flaw Affects ProFTPD

2023/12/24 SecurityOnline — 最も人気のある FTP サーバ・アプリともされる ProFTPD に、脆弱性 CVE-2023-51713 が存在していることが判明した。ProFTPD は、世界中の 100万台以上のサーバから信頼されている FTP サーバ・アプリでもある。このオープンソース・ソフトウェアは、多くの Linux や Unix ディストリビューションの基礎となり、また、SourceForge／Samba／Slackware などの著名なプラットフォームでも広く使われている。 

発見 CVE-2023-51713

セキュリティ研究者である Martin Mirchev により発見された CVE-2023-51713 は、ProFTPD の make_ftp_cmd 関数に起因する危険な境界外バッファ読み取りの問題を引き起こす。この欠陥は、1.3.8a 未満のバージョンに潜んでおり、引用符とバックスラッシュのセマンティクスを誤って処理した結果として、デーモンをクラッシュさせる危険性があるという。

この研究者は、脆弱性 CVE-2023-51713 を誘発するための Docker イメージを作成した：

再現の手順

• Docker が tar.gz をロードする (docker load < file.tar.gz )
• コンテナのインスタンスを作成する。
• “home/ubuntu/experiments/proftpd” ディレクトリの１つのターミナルで、”./proftpd -n -c /home/ubuntu/replayable-crashes-proftpd/basic.conf-X” を実行する。
• 別のターミナルの、”/home/ubuntu/replayable-crashes-proftpd” ディレクトリで “aflnet-replay input FTP 21 1” を実行する。
• ProFTPD は、最初のターミナルでクラッシュするはずである。

応答の遅れ

6月に Mirchev は、ProFTPD のメンテナに対して、この問題を迅速に報告した。しかし、この問題は３ヶ月以上も放置されたままだった。チームメンバーの Castaglia が重要なプルリクエストをマージした 1.3.8 ブランチで、この脆弱性にパッチを当てたのは９月になってからのことだった。

もうひとつの欠陥：CVE-2023-48795

その一方で、ProFTPD の最新バージョンである 1.3.8b では、別の脆弱性 CVE-2023-48795 も修正されている。この、mod_sftp に影響を及ぼす問題は、SSH 仕様における “Terrapin” プレフィックス切り捨て攻撃に関連しており、ソフトウェアのセキュリティ上の課題を強調している。

緊急の呼びかけ

ProFTPD のユーザと管理者は、直ちに最新バージョンへとアップグレードし、 破壊的な悪用からシステムを保護するよう強く求められている。

文中でも紹介されていますが、ProFTPD は実績のある FTP サーバ・アプリなのですね。そうなると、さまざまな組織で運用される可能性が高く、それらが放置されると深刻な状況が生じると思われます。この数ヶ月の間に、FTP に関しては、CrushFTP／Progress WS_FTPで脆弱性が発生していました。よろしければ、ご参照ください。