Wing FTP Serverにコード実行の脆弱性、8.2.6で修正
ファイル転送ソフトのWing FTP Serverに、管理者権限を足がかりにしてサーバー上でコードを実行される脆弱性が見つかり、8.2.6で修正されました。8.2.6より前の版を動かしている組織が対象で、特にsudoでインストールした環境ではroot権限での実行につながります。更新を計画しつつ、管理者アカウントと管理画面の公開範囲を先に点検しておくと安心です。
急ぎ度: 早めに
CVSS v4は9.4で修正版の8.2.6が出ていますが、悪用には管理者権限が要り、実際の攻撃での悪用は公表されていないため、至急ではなく早めの更新と判断しました。
関係があるか
Wing FTP Serverを社内や取引先とのファイル授受に使っている組織が対象です。管理画面がインターネットや広いネットワークに公開されている環境と、インストール時にsudoを使い、root権限で動かしている環境は、とくに影響が大きくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Wing FTP Server（Wing Soft Technology） | 8.2.6未満 | 8.2.6 |
確かめ方
- 1管理画面または製品の情報表示で、動かしているWing FTP Serverの版が8.2.6未満かどうかを確認する。
- 2サーバーのプロセス一覧で、Wing FTP Serverが何のユーザーで動いているかを確認する。rootなら影響が最大になる。
- 3管理者権限を持つアカウントの一覧と、管理画面に接続できるネットワークの範囲を洗い出す。
何が起きたか
Wing FTP Serverの管理者が、サーバー上の任意の場所にファイルを書き込め、最終的にサーバー上でコードを実行できる脆弱性が見つかりました。8.2.6より前の版が対象で、8.2.6で修正されています。CWEの分類はCWE-22（パストラバーサル）です。
原因は、ユーザーごとのフォルダーを決める際に、基準となるベースフォルダーの内側かどうかをWing FTP Serverが確認していないことです。管理者がスクリプトでユーザーディレクトリを追加すると、そのディレクトリがベースフォルダーの外を指すことができ、システム上の別の場所にファイルが作られます。
影響をさらに大きくするのが、インストールの手順です。ベンダーの案内ではコマンドをsudoで実行するよう書かれており、その手順どおりに入れると、作られるファイルの所有者がrootになります。
攻撃の流れ
-
1
管理者権限を得る
Wing FTP Serverの管理者として操作できる状態になる。
-
2
ディレクトリ追加
スクリプトでユーザーディレクトリを追加し、ベースフォルダーの外を指すようにする。
-
3
任意の場所に書き込み
ベースフォルダーの外、つまりシステム上の別の場所にファイルが作られる。
-
4
コード実行
プロセスの所有者の権限でコードが動く。sudoで導入した環境ではroot権限になる。
どう悪用されるか
悪用には、Wing FTP Serverの管理者権限が必要です。ネットワーク経由で攻撃でき、利用者の操作は要りません。つまり、管理者アカウントを持つ人、または管理者アカウントを奪った第三者が、そこから先のサーバー本体へ踏み込めるようになる脆弱性です。
悪用されると、ベースフォルダーの外にファイルを書き込まれ、Wing FTP Serverのプロセスの所有者と同じ権限でコードを実行されます。sudoで入れた環境ではroot権限になるため、サーバー全体の機密性・完全性・可用性が失われかねません。同じサーバーや同じネットワークにある別のシステムへ広がる懸念もあります。
今すぐやること
-
1
版を確認する
稼働中のWing FTP Serverの版を洗い出し、8.2.6未満のものを一覧にする。複数拠点やテスト環境に置かれたものも漏らさない。
-
2
修正版の8.2.6に更新する
更新前に設定とユーザー情報のバックアップを取り、検証環境で動作を確認してから本番に適用する。
-
3
管理者アカウントと接続元を見直す
不要な管理者アカウントを削除し、パスワードを強いものに替える。管理画面に接続できる範囲は、社内の管理用ネットワークなど必要最小限に絞る。更新が済むまでの時間を安全にする対策でもある。
-
4
不審な設定やファイルがないか調べる
ユーザーディレクトリの設定にベースフォルダーの外を指すものがないか、管理操作のログに心当たりのない変更がないかを確認する。見つかった場合は、更新だけで終わらせず、サーバー全体の侵害を疑って調査する。
-
5
実行ユーザーの見直しを検討する
root以外の専用ユーザーで動かせるかを検討する。万一コードを実行されても、権限の範囲を狭められる。
すぐ更新できないとき
ベンダーが案内した回避策ではなく、一般的な運用上の緩和策です。管理画面への接続元をIPアドレスなどで絞り、管理者アカウントを必要な人だけに限り、多要素認証など強い認証を併用できるなら有効にしてください。ただし、これは悪用されにくくするだけで、脆弱性そのものは更新するまで残ります。
背景
Wing FTP Serverは、取引先との納品物のやり取りや、拠点間のファイル配布に使われるファイル転送サーバーです。外部とのやり取りの窓口になるため、インターネットに近い場所に置かれやすい製品です。ユーザーごとに「ここから先は見せない」というフォルダーの境界を引くのが基本の仕組みで、今回の脆弱性はその境界が確認されないことで生じました。
この種のパストラバーサルは、フォルダーの境界の外へ出られることが問題の核心です。ファイル転送サーバーでは、書き込める場所が広がると、設定ファイルや実行されるファイルの上書きにつながり、コード実行まで届きやすくなります。今回は、導入手順がsudoの利用を前提にしているため、その届く先がroot権限になりやすい点が特徴です。
よくある質問
Q.root以外のユーザーで動かしていれば問題ありませんか。
Q.管理画面を社内だけに公開していれば、更新は後回しでよいですか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかは、公表されていません。
- 8.2.6未満のうち、どこまで古い版が影響を受けるのか、ほかの版系列にも修正が出ているのかは公表されていません。
- ベンダーが示す公式の回避策の有無は公表されていません。最新情報はCERT Polskaの告知と、ベンダーのサイトで確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Wing Soft Technology | Wing FTP Server |
8.2.6 未満 |
8.2.6 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Wing FTP Server does not verify user's base folder. An attacker with admin privileges can add user directories via scripts, allowing the added directories to escape the base folder. This allows the attacker to write files on the system and can lead to remote code execution with process owner privileges.Critically, since the installation guide mentions running the command with sudo, the files are created as “root.”
This issue was fixed in version 8.2.6.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cvd@cert.pl
- web cvd@cert.pl
- web nvd.nist.gov
- web wftpserver.com
- web github.com