PT-2020-12788 · Zftpserver · Provide

Publicado 2020-04-12 · Atualizado 2020-04-13 · CVE-2020-11701

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do ProVide (anteriormente zFTPServer) anteriores à 13.2

Descrição

Existe uma falha na interface web do usuário do software afetado, na qual uma condição CSRF permite conceder acesso ao sistema de arquivos ao público. Esse acesso possibilita o upload e a exclusão de arquivos e diretórios.

Recomendações

Para versões do ProVide (anteriormente zFTPServer) anteriores à 13.2, atualize para a versão 13.2 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à Interface Web do Usuário para minimizar o risco de exploração.

Exploit

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2020-11701

Produtos afetados

Provide

Referências · 5

• 🔥 https://github.com/belong2yourself/vulnerabilities/tree/master/ProVide/Web%20User%20Interface%20-%20Cross-Site%20Request%20Forgery · Exploit
• https://provideserver.com/security · Aviso do Fabricante
• https://t.me/cvenotify/2656 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-11701 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-11701 · Aviso do Fabricante