CVSS: 7.8EPSS: 0%CPEs: 3EXPL: 1CVE-2018-10916 – lftp: particular remote file names may lead to current working directory erased
https://notcve.org/view.php?id=CVE-2018-10916
It has been discovered that lftp up to and including version 4.8.3 does not properly sanitize remote file names, leading to a loss of integrity on the local system when reverse mirroring is used. A remote attacker may trick a user to use reverse mirroring on an attacker controlled FTP server, resulting in the removal of all files in the current working directory of the victim's system. Se ha descubierto que lftp hasta e incluyendo la versión 4.8.3 no sanea adecuadamente los nombres de archivo remoto, lo que conduce a la pérdida de integridad en el sistema local cuando se usa la replicación inversa. Un atacante remoto podría engañar a un usuario para que emplee replicación inversa en un servidor FTP controlado por el atacante, lo que resulta en la eliminación de todos los archivos en el directorio de trabajo actual del sistema de la víctima. It has been discovered that lftp does not properly sanitize remote file names, leading to a loss of integrity on the local system when reverse mirroring is used. • http://lists.opensuse.org/opensuse-security-announce/2019-03/msg00036.html http://lists.opensuse.org/opensuse-security-announce/2019-04/msg00010.html https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2018-10916 https://github.com/lavv17/lftp/commit/a27e07d90a4608ceaf928b1babb27d4d803e1992 https://github.com/lavv17/lftp/issues/452 https://usn.ubuntu.com/3731-2 https://access.redhat.com/security/cve/CVE-2018-10916 https://bugzilla.redhat.com/show_bug.cgi?id=1610349 • CWE-20: Improper Input Validation •
CVSS: 7.5EPSS: 1%CPEs: 142EXPL: 0CVE-2010-2251 – lftp: multiple HTTP client download filename vulnerability [OCERT 2010-001]
https://notcve.org/view.php?id=CVE-2010-2251
The get1 command, as used by lftpget, in LFTP before 4.0.6 does not properly validate a server-provided filename before determining the destination filename of a download, which allows remote servers to create or overwrite arbitrary files via a Content-Disposition header that suggests a crafted filename, and possibly execute arbitrary code as a consequence of writing to a dotfile in a home directory. El comando get1, como el usado por lftpget, en LFTP anterior v4.0.6 no valida adecuadamente el nombre de fichero proporcionado por el servidor antes de determinadar el nombre de fichero destino de una descarga, lo que permite a servidores crear o sobreescribir ficheros de su elección a través de una cabecera Content-disposition que sugiere un nombre de fichero manipulado, y probablemente ejecutar código de su elección como consecuencia de escribir un fichero punto en el directorio home. • http://lftp.yar.ru/news.html http://lists.fedoraproject.org/pipermail/package-announce/2010-June/043597.html http://lists.opensuse.org/opensuse-security-announce/2010-08/msg00001.html http://marc.info/?l=oss-security&m=127411372529485&w=2 http://marc.info/?l=oss-security&m=127432968701342&w=2 http://marc.info/?l=oss-security&m=127611288927500&w=2 http://marc.info/?l=oss-security&m=127620248914170&w=2 http://secunia.com/advisories/40400 http://wiki.rpath.com/Advisorie • CWE-20: Improper Input Validation •
CVSS: 6.8EPSS: 3%CPEs: 1EXPL: 0CVE-2007-2348 – lftp mirror --script does not escape names and targets of symbolic links
https://notcve.org/view.php?id=CVE-2007-2348
mirror --script in lftp before 3.5.9 does not properly quote shell metacharacters, which might allow remote user-assisted attackers to execute shell commands via a malicious script. NOTE: it is not clear whether this issue crosses security boundaries, since the script already supports commands such as "get" which could overwrite executable files. La secuencia de comandos mirror en lftp anterior a 3.5.9 no cita adecaudamente el interprete de carácteres metacaracter, lo cual podría permitir atacantes con la intervención del usuario ejecutar comandos del interprete de comandos (shell) a través de secuencias de comandos maliciosas. NOTA: no está claro si este asunto cruza los límites de la seguridad, puesto que que la secuencia de comandos apoya comandos como por ejemplo “get” que podrían sobreescribir ficheros ejecutables. • http://bugs.gentoo.org/show_bug.cgi?id=173524 http://lftp.yar.ru/news.html http://rhn.redhat.com/errata/RHSA-2009-1278.html http://secunia.com/advisories/25107 http://secunia.com/advisories/25132 http://secunia.com/advisories/36559 http://www.securityfocus.com/bid/23736 http://www.vupen.com/english/advisories/2007/1590 https://issues.rpath.com/browse/RPL-1229 https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A10806 https://access •