Wing FTP Serverにコード実行の脆弱性、8.2.6で修正
Summary
ファイル転送ソフトのWing FTP Serverに、管理者権限を足がかりにしてサーバー上でコードを実行される脆弱性が見つかり、8.2.6で修正されました。8.2.6より前の版を動かしている組織が対象で、特にsudoでインストールした環境ではroot権限での実行につながります。更新を計画しつつ、管理者アカウントと管理画面の公開範囲を先に点検しておくと安心です。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
ファイル転送ソフトのWing FTP Serverに、管理者権限を足がかりにしてサーバー上でコードを実行される脆弱性が見つかり、8.2.6で修正されました。8.2.6より前の版を動かしている組織が対象で、特にsudoでインストールした環境ではroot権限での実行につながります。更新を計画しつつ、管理者アカウントと管理画面の公開範囲を先に点検しておくと安心です。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Wing Soft Technology | Wing FTP Server |
< 8.2.6 |
8.2.6 |
Original description The description as published by the source.
Wing FTP Server does not verify user's base folder. An attacker with admin privileges can add user directories via scripts, allowing the added directories to escape the base folder. This allows the attacker to write files on the system and can lead to remote code execution with process owner privileges.Critically, since the installation guide mentions running the command with sudo, the files are created as “root.”
This issue was fixed in version 8.2.6.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web cvd@cert.pl
- web cvd@cert.pl
- web nvd.nist.gov
- web wftpserver.com
- web github.com