vsftpd 3.0.5以前にFTPS通信を乗っ取る脆弱性
FTPサーバーのvsftpd 3.0.5以前に、FTPSのデータ通信を第三者に乗っ取られる脆弱性が公表されました。FTPSでファイルをやり取りしている組織は、自社の版とディストリビューションの修正状況を確認してください。
急ぎ度: 早めに
CVSS v3は7.4、v4は9.1と高く、認証なしで悪用できる一方、攻撃者が被害者と同じ送信元IPにいる必要があり、公表されたばかりで修正版の状況はベンダーの告知で確認する段階だからです。
関係があるか
vsftpdでFTPS（TLSで保護したFTP）を提供している組織が対象です。取引先とのファイル交換や、Webサイトの更新用にFTPSを使っているサーバーが典型です。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| vsftpd | 3.0.5以前（3.0.5を含む） | 修正版の有無と版番号は、vsftpdの公式告知と各ディストリビューションの告知で確認してください。ディストリビューションは版番号を変えずに修正を取り込むことがあります。 |
確かめ方
- 1サーバーでvsftpdの版を確認し、3.0.5以前かどうかを見る。
- 2設定ファイルでssl_enableがYESになっているか確認する。FTPSを有効にしていなければ、この脆弱性の前提を満たしません。
- 3OSのパッケージ管理で入っている版を調べ、ディストリビューションが出している修正の有無を告知で照らし合わせる。
- 4FTPSの利用者が、NATやプロキシの背後で他の端末と同じ送信元IPを共有していないかを、ネットワーク担当者に確認する。
何が起きたか
vsftpd 3.0.5以前に、FTPSのファイル転送へ第三者が割り込める脆弱性が公表されました。転送中のダウンロードを盗み見たり、アップロードされるデータに別の内容を差し込んだりできます。
vsftpdは、データ転送用の接続を受け付けるssl_data_accept()で、その接続が正規の利用者のものかを確かめています。この確認が不十分なため、攻撃者が自分で用意したTLSセッションのチケットでも通ってしまいます。CWEの分類は、通信チャネルの送信元の検証不備にあたるCWE-940です。
深刻度はCVSS v3で7.4（高）、CVSS v4で9.1です。機密性と完全性への影響が大きく、可用性には影響しないと評価されています。
攻撃の流れ
-
1
同じIPに位置する
攻撃者が、被害者と同じ送信元IPでFTPSサーバーに接続できる状態にある。
-
2
チケットを取得
攻撃者が自分の接続でTLSセッションのチケットを手に入れる。
-
3
データ接続に割り込む
そのチケットで、被害者のファイル転送用の接続に入り込む。
-
4
窃取・差し込み
ダウンロード内容を盗み、アップロードされるデータに内容を差し込む。
どう悪用されるか
認証は要らず、ネットワーク経由で悪用でき、被害者側の操作も要りません。ただし攻撃者が被害者と同じ送信元IPを共有している必要があり、CVSSは攻撃の複雑さを「高」と評価しています。
当てはまりやすいのは、同じNATやプロキシの内側に複数の端末がいる環境や、共有の出口IPを使うネットワークです。インターネット上の無関係な第三者が、そのまま狙える脆弱性ではありません。
悪用されると、転送中のファイルが盗まれ、アップロードされるデータが書き換えられます。受け取った側は、改ざんに気づかないまま使うおそれがあります。
今すぐやること
-
1
vsftpdの版を確認する
FTPサーバーごとに版を確認し、3.0.5以前かどうかを一覧にします。
vsftpd -v -
2
修正版の有無を告知で確認する
vsftpdの公式告知と、使っているディストリビューションのセキュリティ告知を見ます。修正版が出ていれば、検証環境で動作を確かめてから本番に更新します。
-
3
FTPSの利用範囲を洗い出す
FTPSを有効にしているサーバーと、接続してくる利用者の送信元IPを整理します。同じIPを共有する端末が多い経路から優先して対処します。
grep -i '^ssl_enable' /etc/vsftpd.conf -
4
機微なデータの扱いを見直す
個人情報や契約書など改ざんや漏えいの影響が大きいファイルは、修正版を適用するまでFTPSでの受け渡しを控えるかどうかを検討します。
修正版がないあいだのつなぎ
修正版をすぐに当てられないときは、FTPSに接続できる送信元をファイアウォールで必要な相手だけに絞り、共有IPの内側から使う利用者を減らします。機微なファイルの転送は、SFTPなど別の方式に切り替えるのも手です。回避策がベンダーから案内されていないかも、公式告知で確認してください。
背景
vsftpdは、LinuxでFTPサーバーを立てるときによく使われるソフトウェアです。社内では、取引先とのファイル交換、Webサイトの更新用の受け口、古い業務システムとの連携などを担っていることが多く、一度設定すると長く動き続けます。
FTPSは、FTPの制御用の接続とデータ用の接続をTLSで保護する方式です。データ用の接続は制御用とは別に張られるため、サーバーは、その接続が制御用と同じ相手のものかを確かめる必要があります。TLSセッションの再利用は、その確認に使われる仕組みの一つです。今回の脆弱性は、確認自体は行われているのに、攻撃者が自分で取得したチケットでも通ってしまう点にあります。
よくある質問
Q.SFTPで運用していれば影響を受けますか。
Q.バージョンが3.0.5のままなら、修正されていないと考えてよいですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| vsftpd | vsftpd |
3.0.5 以前 |
— |
ディストリビューション別の修正状況
各ディストリビューションが公開している、この CVE の修正パッケージ
- Debian DEBIAN-CVE-2026-119568 vsftpd
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
vsftpd through 3.0.5 contains an authentication bypass vulnerability in ssl_data_accept() that allows unauthenticated attackers to hijack FTPS data connections by resuming their own TLS session ticket. Attackers sharing the victim's source IP can obtain a ticket via AUTH TLS, then connect to the victim's PASV port to steal downloads or inject upload data.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com