TwinFTP服务器远程目录遍历漏洞

漏洞信息详情

TwinFTP服务器远程目录遍历漏洞

• CNNVD编号：CNNVD-200408-007
• 危害等级： 中危
  
  
• CVE编号：
  CVE-2004-1679
  
• 漏洞类型：
  
  
  输入验证
  
• 发布时间：
  
  2004-08-04
  
• 威胁类型：
  
  
  远程
  
• 更新时间：
  
  2005-10-20
  
• 厂        商：
  
  jigunet
• 漏洞来源：
  Tan Chew Keong※ ch…

TwinFTP Server是一款基于Windows平台的FTP服务程序。
TwinFTP Server多个FTP命令不正确处理用户提交输入，远程攻击者可以利用这个漏洞绕过ROOT目录限制，以进程权限查看文件内容。
问题是提供给CWD、STOR和RETR命令的目录名缺少正确过滤，当提交类似\”…/winnt\”的字符串时，可绕过目录限制，以进程权限查看服务器上任意文件内容。另外也可以利用这个漏洞覆盖系统文件，造成拒绝服务。

厂商补丁：
TwinFTP
——-
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载升级到2004-09-10之后的1.0.3 R3版本：

http://www.twinftp.com/” target=”_blank”>
http://www.twinftp.com/

来源: XF
名称: twinftp-argument-directory-traversal(17323)
链接:http://xforce.iss.net/xforce/xfdb/17323

来源: BID
名称: 11159
链接:http://www.securityfocus.com/bid/11159

来源: www.security.org.sg
链接:http://www.security.org.sg/vuln/twinftp103r2.html

来源: SECUNIA
名称: 12511
链接:http://secunia.com/advisories/12511/

来源: BUGTRAQ
名称: 20040913 Directory Traversal Vulnerability in TwinFTP Server allows overwriting of files outside FTP directory
链接:http://marc.theaimsgroup.com/?l=bugtraq&m=109509243831121&w=2