Vulnerabilidad de copia arbitraria de archivos detectada en ProFTPD

ProFTPD se trata de una de las aplicaciones FTP de código abierto más famosas que existen. Actualmente corre en más de un millón de servidores en todo el mundo. La vulnerabilidad permite la copia arbitraria de archivos saltándose las restricciones en cuanto a permisos de escritura se refiere.

La vulnerabilidad ha sido clasificada con el CVE-2019-12815 y, pese a que el fabricante reporta que las versiones afectadas sólo llegan hasta la 1.3.5b, el investigador que ha descubierto el fallo, Tobias Mädel, afirma en su web que la vulnerabilidad afecta también a la versión 1.3.6.

La vulnerabilidad reside en el módulo mod_copy de la aplicación. Se trata de un componente del código encargado de gestionar la copia de archivos de un directorio a otro sin devolver los datos de nuevo al cliente. Según el investigador alemán, un manejo incorrecto de los controles de acceso por parte del módulo es lo que permite que un usuario autenticado pueda copiar archivos a directorios del servidor FTP donde no tiene permisos de escritura.

Adicionalmente, el investigador reporta que en algunos escenarios, la vulnerabilidad puede conducir a ejecución remota de código o a filtración de información sensible. Sin embargo, las condiciones en las que puede producirse una ejecución de código son extremadamente situacionales, poco comunes e involucran, entre otras cosas, la existencia de un entorno que ejecute código PHP y la posibilidad de tener permisos de escritura previos en algún directorio del servidor.

Es importante recordar que, aunque el módulo afectado es un componente que viene por defecto en todas las versiones de ProFTPD y, por ende, afecta potencialmente a un número muy elevado de servidores, la vulnerabilidad requiere un inicio de sesión exitoso para ser explotada. Esto es, sólo un usuario legítimamente autenticado puede aprovechar este fallo de seguridad.

El investigador comenta que la vulnerabilidad fue reportada hace más de nueves meses, pero los desarrolladores encargados del mantenimiento de la aplicación open source no han proporcionado respuesta alguna ante sus avisos. Por otro lado, ProFTPD ya adolecía de una vulnerabilidad similar reportada en 2015 que afectaba a la versión 1.3.5.

Las versiones anteriores a 1.3.6 ya tienen un parche de seguridad oficial para mitigar la vulnerabilidad, no así la versión 1.3.6, para la que el investigador recomienda, como mitigación temporal, deshabilitar el módulo mod_copy en sus servidores en su archivo de configuración, hasta que los desarrolladores encargados del proyecto liberen el parche oficial.