Ruby ftpd Gem 'filename' 參數遠端命令執行

high Nessus Plugin ID 65078

Synopsis

遠端主機所執行的 FTP 伺服器受到一個程式碼插入弱點影響。

描述

Nessus 可以在 Ruby ftpd Gem 中,將特製的 'filename' 參數提供給 LIST 命令,藉以惡意利用程式碼插入弱點。

解決方案

升級至 ftpd gem 0.2.2 或更新版本。

另請參閱

http://www.vapid.dhs.org/advisory.php?v=34

https://seclists.org/bugtraq/2013/Mar/10

http://www.nessus.org/u?b3b462e4

Plugin 詳細資訊

嚴重性: High

ID: 65078

檔案名稱: ftp_ruby_command_injection.nasl

版本: 1.9

類型: remote

系列: FTP

已發布: 2013/3/7

已更新: 2018/11/15

風險資訊

CVSS v2

風險因素: High

基本分數: 7.5

時間分數: 6.2

媒介: AV:N/AC:L/Au:N/C:P/I:P/A:P

時間媒介: E:F/RL:OF/RC:ND

弱點資訊

CPE: x-cpe:/a:wconrad:ftpd

必要的 KB 項目: ftp/login

可被惡意程式利用: true

可輕鬆利用: Exploits are available

由 Nessus 利用: true

修補程式發佈日期: 2013/3/2

弱點發布日期: 2013/2/28

參考資訊

BID: 58279