Adminisztrátori adatokat szivárogtathat a WS_FTP Server kritikus hibája
Bejelentkezés nélkül is hozzáférhet egy távoli támadó az adminisztrátori hitelesítő adatokhoz a WS_FTP Server egyik hibáján keresztül. A Windows alatt futó adatátviteli szoftverben összesen 15 sebezhetőséget ismertettek, a javított verziók már elérhetők.
A legsúlyosabb hibához bejelentkezés sem kell
A Progress biztonsági közleményében szereplő legsúlyosabb hiba a CVE-2026-84295 azonosítót kapta. A hiányos hitelesítés miatt egy távoli, nem bejelentkezett támadó érzékeny információkhoz, köztük adminisztrátori hitelesítő adatokhoz férhet hozzá.
A sérülékenység CVSS-pontszáma 10,0, vagyis a műszaki súlyosságot mérő skála legmagasabb értéke. A pontszám önmagában nem jelzi, hogy ténylegesen kihasználták-e a hibát. A probléma a 2024.0.6 és a 2025.0.3 előtti Windows-verziókat érinti, de a többi ismertetett hiba miatt az újabb javított kiadásra érdemes áttérni.
Ezekre a verziókra frissíts
A WS_FTP Server 2024-es ágához a 2024.0.7, a 2025-öshöz a 2025.0.4 jelű javított kiadás érhető el. A forrás szerint mindkettő 2026. október 1. óta áll rendelkezésre. Az érintett telepítések üzemeltetőinek mielőbbi frissítést javasol.
A két ág korábbi kiadásaiban nem minden hiba ugyanazt a verzióhatárt érinti. A legsúlyosabb hitelesítési problémát már a 2024.0.6 és a 2025.0.3 előtti változatoknál jelzik, több további sebezhetőségnél viszont a frissebb javítások előtti kiadások is érintettek.
Parancsok futtatásához és fájlokhoz is vezethetnek hibák
A CVE-2026-90868 egy másik kritikus sérülékenység: bizonyos beállítások mellett tetszőleges parancsok futtatását teheti lehetővé. A CVE-2026-90865 szintén parancsok végrehajtásához vezethet, bizonyos beállítások mellett emelt jogosultságokkal.
Az adminisztrációs felületen talált CVE-2026-90863 miatt egy delegált adminisztrátor túllépheti a számára engedélyezett hatáskört. Ez emelt jogosultságú parancsvégrehajtáshoz és a kiszolgáló teljes kompromittálásához is vezethet.
Két további hiba, a CVE-2026-90864 és a CVE-2026-90866 ugyancsak a delegált adminisztrátor jogosultsági körén túl adhat hozzáférést. Az előbbi fájlok elérését vagy módosítását, az utóbbi távoli kódfuttatást is lehetővé tehet.
A többtényezős hitelesítést is érintik problémák
A CVE-2026-84296 az SSH-komponensben lehetővé teheti, hogy egy már hitelesített felhasználó megkerülje a többtényezős hitelesítést. Egy másik hiba, a CVE-2026-90862 esetén a támadó egy felhasználó jelszavának birtokában hozzáférhet a fiókhoz kapcsolódó egyes fájlokhoz anélkül, hogy teljesítené a többtényezős ellenőrzés követelményeit.
A CVE-2026-90861 egy felhasználó jelszavát teheti láthatóvá egy másik adminisztrátor számára. A CVE-2026-90867 pedig az adminisztrációs konzol egyes funkcióit teheti elérhetővé távoli hitelesítési próbálkozások számára.
Szolgáltatáskimaradást és jogosulatlan fájlelérést is okozhatnak
A CVE-2026-90869 révén egy távoli támadó leállíthatja a megosztott SSH-szolgáltatást, ha ismeri egy érvényes fiókhoz regisztrált SSH-nyilvános kulcsot. A CVE-2026-90870 a kiszolgáló erőforrásainak kimerüléséhez és a szolgáltatás romlásához vezethet.
A CVE-2026-84294 egy hitelesített felhasználónak adhat hozzáférést a kijelölt könyvtárakon kívüli fájlokhoz. A CVE-2026-90871 esetén bejelentkezés nélküli támadó is hatással lehet a megadott könyvtáron kívüli fájlokra.
A Manager webkonzol CVE-2026-90872 hibája egy hitelesített adminisztrátornak teheti lehetővé tetszőleges parancsok futtatását a WS_FTP Server IIS-munkafolyamatának jogosultságaival.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum