BDU:2020-05776

Опубликовано: 18 фев. 2020

Источник: fstec

CVSS3: 8.8

CVSS2: 9

EPSS Средний

Описание

Уязвимость реализации функции alloc_pool FTP-сервера ProFTPD связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения

Novell Inc.

Fedora Project

The ProFTPD Project

ООО «Ред Софт»

АО «ИВК»

Наименование ПО

Debian GNU/Linux

OpenSUSE Leap

Fedora

openSUSE Backports

ProFTPD

РЕД ОС

Альт 8 СП

Версия ПО

9 (Debian GNU/Linux)

15.1 (OpenSUSE Leap)

30 (Fedora)

8 (Debian GNU/Linux)

10 (Debian GNU/Linux)

31 (Fedora)

SLE-15 (openSUSE Backports)

SLE-15-SP1 (openSUSE Backports)

1.3.7 (ProFTPD)

7.3 (РЕД ОС)

- (Альт 8 СП)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Novell Inc. OpenSUSE Leap 15.1

Fedora Project Fedora 30

Сообщество свободного программного обеспечения Debian GNU/Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Fedora Project Fedora 31

ООО «Ред Софт» РЕД ОС 7.3

АО «ИВК» Альт 8 СП -

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://github.com/proftpd/proftpd/blob/master/RELEASE_NOTES

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/VCUPRYSJR7XOM3HQ6H5M4OGDU7OHCHBF/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/XHO3S5WPRRP7VGKIAHLYQVEYW5HRYIJN/

Для OpenSUSE:

https://lists.opensuse.org/opensuse-security-announce/2020-03/msg00002.html

Для Debian:

https://lists.debian.org/debian-lts-announce/2020/02/msg00022.html

https://lists.debian.org/debian-lts-announce/2020/03/msg00002.html

https://www.debian.org/security/2020/dsa-4635

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для РЕД ОС:

https://redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-proftpd-22102025/?sphrase_id=1330675

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-9273
CVE

EPSS

Процентиль: 98%

0.6675

Средний

8.8 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

ROS-20251022-03

CVSS3: 8.8

redos

около 1 месяца назад

Множественные уязвимости proftpd

CVE-2020-9273

CVSS3: 8.8

ubuntu

почти 6 лет назад

In ProFTPD 1.3.7, it is possible to corrupt the memory pool by interrupting the data transfer channel. This triggers a use-after-free in alloc_pool in pool.c, and possible remote code execution.

CVE-2020-9273

CVSS3: 8.8

nvd

почти 6 лет назад

In ProFTPD 1.3.7, it is possible to corrupt the memory pool by interrupting the data transfer channel. This triggers a use-after-free in alloc_pool in pool.c, and possible remote code execution.

CVE-2020-9273

CVSS3: 8.8

debian

почти 6 лет назад

In ProFTPD 1.3.7, it is possible to corrupt the memory pool by interru ...

GHSA-j879-hg9w-v5qv

github

больше 3 лет назад

In ProFTPD 1.3.7, it is possible to corrupt the memory pool by interrupting the data transfer channel. This triggers a use-after-free in alloc_pool in pool.c, and possible remote code execution.

EPSS

Процентиль: 98%

0.6675

Средний

8.8 High

CVSS3

9 Critical

CVSS2