PT-2022-6127 · Apache+4 · Apache Commons Net+4

Zeddyu Lu · Publicado 2022-03-28 · Atualizado 2025-12-16 · CVE-2021-37533

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache Commons Net anteriores à 3.9.0

Descrição

O problema está relacionado ao cliente FTP do Apache Commons Net, que, por padrão, confia no host fornecido na resposta PASV. Isso permite que um servidor malicioso redirecione o código do Commons Net para usar um host diferente, o que pode levar ao vazamento de informações sobre os serviços em execução na rede privada do cliente. O comportamento padrão foi alterado na versão 3.9.0 para ignorar tais hosts.

Recomendações

Para versões anteriores à 3.9.0, atualize para a versão 3.9.0 ou posterior para alterar o comportamento padrão e ignorar os hosts das respostas PASV. Como solução temporária, considere configurar o cliente FTP para não confiar nos hosts das respostas PASV.

Correção

Open Redirect

RCE

Enumeração de Fraquezas

CWE-601

CWE-20

Identificadores relacionados

BDU:2023-00080

CVE-2021-37533

DLA-3251-1

DSA-5307-1

GHSA-CGP8-4M63-FHH5

OESA-2023-1882

OPENSUSE-SU-2024:12549-1

USN-6037-1

Produtos afetados

Apache Commons Net

Astra Linux

Linuxmint

Red Os

Ubuntu

Referências · 33

• https://github.com/apache/commons-net/commit/4fe1bae56e53f32756b1ca3296f3dd2c45e3e060 · Nota
• https://github.com/apache/commons-net · Nota
• https://github.com/apache/commons-net/commit/b0bff89f70cfea70009e22f87639816cc3993974 · Nota
• https://ubuntu.com/security/CVE-2021-37533 · Aviso do Fabricante
• https://debian.org/security/2022/dsa-5307 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2021-37533 · Nota
• https://lists.apache.org/thread/o6yn9r9x6s94v97264hmgol1sf48mvx7 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-37533 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-cgp8-4m63-fhh5 · Aviso do Fabricante
• https://osv.dev/vulnerability/OESA-2023-1882 · Aviso do Fabricante
• https://xn--80ahaefyxhn.xn--j1afgaq.xn--p1ai/bin/view/%D0%9E%D0%A1%D0%BD%D0%BE%D0%B2%D0%B0/%D0%9E%D0%B1%D0%BD%D0%BE%D0%B2%D0%BB%D0%B5%D0%BD%D0%B8%D1%8F/2.7 · Nota
• https://openeuler.org/en/security/safety-bulletin/detail.html?id=openEuler-SA-2023-1882 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2021-37533 · Aviso do Fabricante
• https://ubuntu.com/security/notices/USN-6037-1 · Aviso do Fabricante
• https://t.me/cvenotify/39271 · Publicação no Telegram