WS_FTP Serverの脆弱性、コード実行の恐れ 修正版あり
Windows版WS_FTP Serverで、委任された管理者が許可範囲の外に手が届き、サーバー上でコードを実行される恐れがある脆弱性が公表されました。ホスト管理者に権限を委任して運用している組織は、版を確認して修正版に更新してください。悪用には高い権限が要るため、全社を止めて対応する種類の話ではありませんが、修正版は出ているので計画を立てて早めに当てるのが安全です。
急ぎ度: 早めに
CVSS v3は9.1でCriticalですが、悪用にはホスト管理者の権限が必要で、修正版はすでに公開されています。
関係があるか
Windows上でWS_FTP Serverを運用し、ホスト管理者に管理権限を委任している組織が対象です。取引先や外部委託先に管理を任せている環境ほど、影響を受けやすいと考えられます。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Progress Software WS_FTP Server（Windows） | 2024.0.7より前の版、および2025.0.4より前の版 | 2024.0.7、2025.0.4 |
確かめ方
- 1WS_FTP Serverを動かしているWindowsサーバーで、管理画面またはインストール済みプログラムの一覧から、導入されている版を確認します。
- 22024系なら2024.0.7、2025系なら2025.0.4に届いているかを見比べます。
- 3ホスト管理者に権限を委任しているか、委任先のアカウントが誰に使われているかを棚卸しします。
- 42024系より前の版を使っている場合は、ベンダーの告知で影響の有無を確認します。
何が起きたか
WS_FTP Serverで、委任されたホスト管理者が、自分に許された範囲の外にある場所へアクセスできてしまう脆弱性が見つかりました。条件がそろうと、サーバー上でコードを実行される恐れもあります。
Windows版の仮想フォルダーには、管理者が触れてよい範囲を閉じ込める仕組みがあります。今回の問題はこの範囲の制限を回避できてしまうもので、パストラバーサル（CWE-22）に分類されています。ファイルの受け入れに関する分類（CWE-434）も付いています。
Progress Softwareが修正版を公開しました。
攻撃の流れ
-
1
管理者権限を得る
委任されたホスト管理者の権限を持つ者が出発点になります。
-
2
範囲制限を回避
仮想フォルダーの閉じ込めを抜け、許可された範囲の外を指せるようになります。
-
3
範囲外へ到達
本来触れられないフォルダーやファイルに、アクセスできる状態になります。
-
4
コード実行の恐れ
条件によってはサーバー上でコードが実行され、サーバー全体に影響が及びます。
どう悪用されるか
ネットワーク経由で悪用でき、利用者の操作は要りません。ただし、委任されたホスト管理者の権限を持っていることが前提になります。インターネットから誰でも突ける種類の脆弱性ではありません。
それでも、委任先の担当者による内部不正や、そのアカウントの資格情報の流出があれば、前提は満たされます。権限が奪われやすい運用かどうかが、実際のリスクを左右するでしょう。
悪用されると、許可範囲の外のデータが読まれ、書き換えられ、サービスが止まる恐れがあります。コード実行に至れば、管理の境界を越えてサーバー全体に影響します。CVSSで影響範囲が変わる（Scope: Changed）と評価されているのは、そのためです。
今すぐやること
-
1
導入版を確認する
WS_FTP Serverの版を調べ、2024系は2024.0.7、2025系は2025.0.4より前かどうかを確かめます。複数台あるときは、台帳と実機の両方で見ます。
-
2
修正版に更新する
ベンダーの告知に従い、該当する系統の修正版へ更新します。更新前に設定とデータのバックアップを取り、止められる時間帯を選びます。
-
3
ホスト管理者を棚卸しする
権限を委任している管理者の一覧を作り、不要なアカウントや使われていないアカウントを無効にします。パスワードの使い回しがないかも確認します。
-
4
更新前の状況をログで見る
更新しても過去の不正アクセスの痕跡は消えません。委任された管理者のアカウントが、許可範囲外の場所を操作していないかを、取れる範囲のログで確認します。
すぐ更新できないとき
すぐに修正版を当てられないときは、ホスト管理者への委任を必要最小限に絞ります。管理画面にアクセスできるネットワークも限ると、悪用の前提となる権限を奪われにくくなります。これは負担を減らす応急策で、脆弱性そのものを防ぐものではありません。
背景
WS_FTP Serverは、Progress SoftwareのWindows向けファイル転送サーバーです。取引先や拠点とのファイル受け渡しに使われ、ホストごとに管理を委任できます。仮想フォルダーは、委任された管理者や利用者に見せる範囲を絞る仕組みです。そのため、範囲の制限が破られると、権限を分けて運用する意味が薄れます。
2023年にもWS_FTP Serverでは別の深刻な脆弱性が公表され、実際の攻撃も報告されました。今回とは別の問題ですが、ファイル転送サーバーが標的になりやすいことは意識しておきたいところです。
よくある質問
Q.ホスト管理者に権限を委任していなければ、更新しなくてよいですか。
Q.修正版に更新すれば、過去の被害も確認できますか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうか、悪用の報告があるかどうかは公表されていません。
- コード実行に至る具体的な条件や、更新できない場合の公式な回避策は公表されていません。最新の情報はProgress Softwareの告知で確認してください。
- 2024系より前の版が影響を受けるかどうかは、公表内容からは読み取れません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Progress Software | WS_FTP Server |
2024.0.7 未満 2025.0.4 未満 |
2024.0.7 2025.0.4 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A path traversal vulnerability in Progress Software WS_FTP Server versions prior to 2024.0.7 and 2025.0.4 on Windows could allow a delegated Host Administrator to access locations outside their authorized scope, potentially enabling remote code execution.
出典: CVE.org (CVE Program・cvelistV5) NVD