CVE-2026-49172

Heap-based buffer overflow w Windows FTP Service umożliwiający RCE

CVSS 9.8v3.1pub. 2026-07-14upd. 2026-07-22

Podatność typu heap-based buffer overflow w usłudze Windows FTP Service pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu (RCE) przez sieć. Krytyczny poziom zagrożenia (CVSS 9.8) wynika z braku wymagań co do uwierzytelnienia i interakcji użytkownika.

▸ Pokaż oryginał (EN)

Heap-based buffer overflow in Windows FTP Service allows an unauthorized attacker to execute code over a network.

🤖 Analiza AI

Jak działa

Błąd sklasyfikowany jako CWE-122 (heap-based buffer overflow) polega na nieprawidłowej obsłudze danych wejściowych w usłudze Windows FTP Service, co prowadzi do przepełnienia bufora na stercie (heap). Atakujący może wysłać specjalnie spreparowane żądanie sieciowe do podatnej usługi FTP, powodując zapis danych poza granicami przydzielonego bufora. Skutkuje to możliwością nadpisania struktur pamięci procesu i przejęcia nad nim kontroli bez jakiegokolwiek uwierzytelnienia.

Skutki

Atakujący może uzyskać możliwość zdalnego wykonania dowolnego kodu (RCE) w kontekście usługi Windows FTP Service, co może prowadzić do pełnego przejęcia kontroli nad systemem, naruszenia poufności, integralności i dostępności danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi przez Microsoft Security Response Center (MSRC): https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-49172. Dodatkowo, jeśli usługa FTP nie jest wymagana, zaleca się jej wyłączenie lub ograniczenie dostępu sieciowego do usługi FTP za pomocą firewalla.