CVE-2020-14057

Monsta FTP — zewnętrzna kontrola ścieżek umożliwiająca RCE

CVSS 9.8v3.1pub. 2020-07-01upd. 2024-11-21

Monsta FTP w wersji 2.10.1 i wcześniejszych pozwala atakującemu na zewnętrzną kontrolę ścieżek używanych przez operacje na systemie plików (path traversal / CWE-610). W typowych konfiguracjach umożliwia to zdalne wykonanie kodu (RCE) bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

Monsta FTP 2.10.1 or below allows external control of paths used in filesystem operations. This allows attackers to read and write arbitrary local files, allowing an attacker to gain remote code execution in common deployments.

🤖 Analiza AI

Jak działa

Aplikacja nie waliduje prawidłowo ścieżek przekazywanych przez użytkownika podczas operacji na systemie plików. Atakujący może dostarczyć spreparowane ścieżki wskazujące na dowolne miejsca na serwerze, co umożliwia odczyt i zapis arbitralnych plików lokalnych. W typowych środowiskach produkcyjnych możliwość zapisu plików prowadzi bezpośrednio do uzyskania zdalnego wykonania kodu — na przykład poprzez wgranie złośliwego skryptu PHP do katalogu dostępnego przez serwer WWW.

Skutki

Atakujący może odczytywać i modyfikować dowolne pliki na serwerze, a w typowych konfiguracjach uzyskać pełne zdalne wykonanie kodu (RCE) bez potrzeby posiadania jakichkolwiek uprawnień.

Mitygacja

Należy niezwłocznie zaktualizować Monsta FTP do wersji wyższej niż 2.10.1. Szczegółowe informacje o dostępnych poprawkach znajdują się w notatkach producenta pod adresem https://www.monstaftp.com/notes/

Kogo dotyczy

Monsta FTP w wersji 2.10.1 oraz wszystkich wcześniejszych wersjach.

Uwagi

Podatność została zgłoszona przez SBA Research w ramach advisory SBA-ADV-20191203-01, co wskazuje, że odkrycia dokonano w grudniu 2019 roku, a publiczne ujawnienie nastąpiło 1 lipca 2020 roku.