[vuln.sg] ESTsoft ALFTP の FTP クライアントにおけるディレクトリトラバーサルの脆弱性

by Tan Chew Keong　タン　チュー　ケオン
Release Date: 2008-06-06
Updated: 2010-05-22

ESTsoft ALFTP の FTP クライアントには、ディレクトリトラバーサルの脆弱性が存在します。悪意のある人は、この脆弱性を利用し FTP クライアントの作業ディレクトリを越えたディレクトリにファイルを転送する事ができます。

ESTsoft ALFTP の FTP クライアントは、LIST コマンドに対するレスポンスを適切に検査しないから、ディレクトリトラバーサルの脆弱性が存在します。ユーザーが、FTP サーバーから悪意のあるディレクトリをダウンロードしたら、攻撃者にユーザーの権限で FTP クライアントの作業ディレクトリを越えたディレクトリに任意のファイルを作成される可能性があります。

脆弱性のテストのためのファイルはこちらです。テストの方法は下記です。

Instructions for testing FTP client:

Unzip the POC file into a directory. This gives ALFTPPOC.exe and ALFTPPOC-forward.exe.
ALFTPPOC.exe is a POC FTP server that will send filenames with backslash directory traversal characters in response to LIST commands.
ALFTPPOC-forward.exe is a POC FTP server that will send filenames with forward-slash directory traversal characters in response to LIST commands.
Go to the command prompt and run ALFTPPOC.exe or ALFTPPOC-forward.exe on a system. It will listen on FTP Port 21.

IMPORTANT: Ensure that ALFTP is configured to use Passive mode. The POC FTP server only supports Passive mode.
Use ALFTP to connect to the POC FTP server. You can use any username/password.
You'll see a directory named /testdir on the POC FTP server (see below).

If you traverse into that directory you'll see a file (testfile.txt) with directory traversal characters in its filename (see below).

Now, if you attempt to download the /testdir directory into C:\aaaa\bbbb\cccc\etc, you'll notice that testfile.txt will be written into C:\ instead of into C:\aaaa\bbbb\cccc\etc\testdir\testfile.txt.

Hence, by tricking a user to download a directory from a malicious FTP server, an attacker can potentially leverage this issue to write files into a user's Startup folder and execute arbitrary code when the user logs on.

Version 5.2 へのバージョンアップしてください。バージョンアップしなければ、悪意のある FTP サーバーからディレクトリをダウンロードしないで下さい。

2008年05月18日　-　脆弱性の発見。
2008年05月22日　-　ベンダーに報告しました。(ベンダーが答えない)
2008年05月27日　-　再度ベンダーに報告しました。(ベンダーが答えない)
2008年05月29日　-　再度ベンダーに報告しました。(ベンダーが答えない)
2008年06月02日　-　再度ベンダーに報告しました。(ベンダーが答えない)
2008年06月06日　-　本脆弱性の公開。
2010年05月19日　-　ベンダーからメールをもらいました。ベンダーによると、脆弱性はバージョン 5.1 beta 1 で修正されました。