Directory traversal vulnerability in pure-FTPd 1.0.22 and possibly other versions, when running on SUSE Linux Enterprise Server and possibly

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• pureftpd pure-ftpdдо 1.0.22 включительно
• pureftpd pure-ftpd0.90
• pureftpd pure-ftpd0.91
• pureftpd pure-ftpd0.92
• pureftpd pure-ftpd0.93
• pureftpd pure-ftpd0.94
• pureftpd pure-ftpd0.95
• pureftpd pure-ftpd0.95.1
• pureftpd pure-ftpd0.95.2
• pureftpd pure-ftpd0.96
• pureftpd pure-ftpd0.96.1
• pureftpd pure-ftpd0.97
• pureftpd pure-ftpd0.97-final
• pureftpd pure-ftpd0.97.1
• pureftpd pure-ftpd0.97.2
• pureftpd pure-ftpd0.97.3
• pureftpd pure-ftpd0.97.4
• pureftpd pure-ftpd0.97.5
• pureftpd pure-ftpd0.97.6
• pureftpd pure-ftpd0.97.7

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2020-8018User owned /etc in SLES15-SP1-CHOST-BYOS
  31Наблюдать
• CVE-2016-1602A code injection in the supportconfig data collection tool in supportutils in SUSE Linux Enterprise Server 12 and 12-SP1 and SUSE Linux Ente
  31Наблюдать
• CVE-2020-8016race condition in the packaging of texlive-filesysten
  28Наблюдать
• CVE-2020-8017race condition on texlive-filesystem cron job allows for the deletion of unintended files
  25Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Имя файла, переданное пользователем, объединяется с разрешённым каталогом, но не проверяется, остаётся ли результат внутри этого каталога.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const file = path.join(ROOT, req.query.name);2res.sendFile(file);

1const file = path.resolve(ROOT, req.query.name);2if (!file.startsWith(ROOT + path.sep)) {3  return res.sendStatus(400);4}5res.sendFile(file);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.