vsftpd 3.0.5以前にFTPS通信を乗っ取る脆弱性
Summary
FTPサーバーのvsftpd 3.0.5以前に、FTPSのデータ通信を第三者に乗っ取られる脆弱性が公表されました。FTPSでファイルをやり取りしている組織は、自社の版とディストリビューションの修正状況を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
FTPサーバーのvsftpd 3.0.5以前に、FTPSのデータ通信を第三者に乗っ取られる脆弱性が公表されました。FTPSでファイルをやり取りしている組織は、自社の版とディストリビューションの修正状況を確認してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| vsftpd | vsftpd |
≤ 3.0.5 |
— |
Fix status by distribution
Fixed packages published by each distribution for this CVE
- Debian DEBIAN-CVE-2026-119568 vsftpd
Original description The description as published by the source.
vsftpd through 3.0.5 contains an authentication bypass vulnerability in ssl_data_accept() that allows unauthenticated attackers to hijack FTPS data connections by resuming their own TLS session ticket. Attackers sharing the victim's source IP can obtain a ticket via AUTH TLS, then connect to the victim's PASV port to steal downloads or inject upload data.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com