ProFTPD における不適切なアクセス制御による任意ファイル操作の脆弱性

ProFTPD において、不適切なアクセス制御の脆弱性が確認された。この問題は、mod_copy モジュールに含まれる site cpfr および site cpto コマンドの処理に起因する。攻撃者は、認証を介さずにリモートからこれらのコマンドを実行することで、サーバ上の任意のファイルを別の場所へコピーしたり、外部からファイルを書き込んだりすることが可能になる。CISA KEV に登録されたことは、この脆弱性が実際の攻撃に悪用されていることを示しており、迅速な対応が求められる。CISA は米国の連邦政府機関に、2026年10月11日までの対応を求めている。