PT-2021-8374 · Rubygems · Ftpd

Publicado 2021-01-26 · Atualizado 2021-10-12 · CVE-2013-2512

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Gem ftpd versão 0.2.1

Descrição

A vulnerabilidade permite que invasores remotos executem comandos arbitrários do sistema operacional por meio de metacaracteres de shell em um argumento dos comandos LIST ou NLST no tráfego do protocolo FTP.

Recomendações

Para a gem ftpd versão 0.2.1, considere restringir o uso dos comandos LIST ou NLST até que um patch esteja disponível, ou atualize para uma versão que corrija este problema, se disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2013-2512

GHSA-7VXR-6CXG-J3X8

Produtos afetados

Ftpd

Referências · 9

• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/ftpd/CVE-2013-2512.yml · Exploit
• 🔥 http://vapidlabs.com/advisory.php?v=34 · Exploit
• https://github.com/wconrad/ftpd · Nota
• https://github.com/wconrad/ftpd/commit/828064f1a0ab69b2642c59cab8292a67bb44182c · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2013-2512 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-7vxr-6cxg-j3x8 · Aviso do Fabricante
• https://web.archive.org/web/20210206231123/http://vapidlabs.com/advisory.php?v=34 · Nota
• https://t.me/cibsecurity/22692 · Publicação no Telegram
• https://t.me/cvenotify/8991 · Publicação no Telegram