CVE-2020-14056

SSRF w Monsta FTP — odczyt plików lokalnych i dostęp do usług zewnętrznych

CVSS 9.8v3.1pub. 2020-07-01upd. 2024-11-21

Monsta FTP w wersji 2.10.1 i wcześniejszych zawiera krytyczną podatność typu SSRF (Server-Side Request Forgery) wynikającą z niewystarczającego ograniczenia funkcji pobierania zasobów przez serwer. Podatność umożliwia nieuwierzytelnionym atakującym odczyt dowolnych plików lokalnych oraz interakcję z zewnętrznymi i wewnętrznymi usługami sieciowymi.

▸ Pokaż oryginał (EN)

Monsta FTP 2.10.1 or below is prone to a server-side request forgery vulnerability due to insufficient restriction of the web fetch functionality. This allows attackers to read arbitrary local files and interact with arbitrary third-party services.

🤖 Analiza AI

Jak działa

Funkcja web fetch w Monsta FTP nie weryfikuje w wystarczający sposób, jakie zasoby mogą być przez nią pobierane. Atakujący może spreparować odpowiednie żądanie, które skłoni serwer do wysłania zapytania do dowolnego wskazanego adresu — zarówno do zasobów wewnętrznych serwera (np. plików systemowych), jak i do zewnętrznych usług sieciowych. W ten sposób serwer działa jako pośrednik, wykonując żądania w imieniu atakującego, co pozwala na ominięcie ograniczeń sieciowych i ekspozycję zasobów niedostępnych bezpośrednio z zewnątrz.

Skutki

Atakujący może odczytać dowolne pliki lokalne serwera (np. pliki konfiguracyjne, dane uwierzytelniające) oraz wchodzić w interakcje z wewnętrznymi lub zewnętrznymi usługami sieciowymi, co może prowadzić do dalszego naruszenia poufności i integralności systemu.

Mitygacja

Należy zaktualizować Monsta FTP do wersji wyższej niż 2.10.1, w której producent wprowadził stosowne poprawki. Szczegółowe informacje o dostępnych patchach znajdują się w oficjalnych notatkach wydania producenta pod adresem https://www.monstaftp.com/notes/

Kogo dotyczy

Monsta FTP w wersji 2.10.1 oraz wszystkich wcześniejszych wersjach.

Uwagi

Podatność została zgłoszona przez badaczy z SBA Research (identyfikator wewnętrzny: SBA-ADV-20191203-02), co wskazuje na odkrycie jeszcze w grudniu 2019 roku, natomiast CVE opublikowano 1 lipca 2020 roku.