リモートの Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 ホストには、USN-7297-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Fabian Bumer 氏、Marcus Brinkmann 氏、Jrg Schwenk 氏は、ProFTPD のトランスポートプロトコル実装の整合性チェックが弱いことを発見しました。攻撃者がこの脆弱性を利用して、暗号化や整合性チェックなどのセキュリティ機能をバイパスする可能性があります。(CVE-2023-48795)

    Martin Mirchev 氏は、ProFTPD がネットワーク経由のユーザー入力を適切に検証しなかったことを発見しました。攻撃者がこの脆弱性を利用して ProFTPD をクラッシュさせたり、任意のコードを実行したりする可能性があります。(CVE-2023-51713)

    Brian Ristuccia 氏は、ProFTPD が親プロセスからグループを不適切に継承していることを発見しました。攻撃者はこの脆弱性を利用して特権を昇格する可能性があります。(CVE-2024-48651)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-7297-1 advisory.

    Fabian Bumer, Marcus Brinkmann, and Jrg Schwenk discovered that the transport protocol implementation     in ProFTPD had weak integrity checks. An attacker could use this vulnerability to bypass security features     like encryption and integrity checks. (CVE-2023-48795)

    Martin Mirchev discovered that ProFTPD did not properly validate user input over the network. An attacker     could use this vulnerability to crash ProFTPD or execute arbitrary code. (CVE-2023-51713)

    Brian Ristuccia discovered that ProFTPD incorrectly inherited groups from the parent process. An attacker     could use this vulnerability to elevate privileges. (CVE-2024-48651)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

遠端 Ubuntu 20.04 LTS/22.04 LTS/24.04 LTS/24.10 主機上安裝的套件受到 USN-7297-1 公告中所提及的多個弱點影響。

    Fabian Bumer、Marcus Brinkmann 和 Jrg Schwenk 發現，ProFTPD 中的傳輸通訊協定實作有弱式完整性檢查。攻擊者可利用此弱點繞過安全性功能，例如加密和完整性檢查。(CVE-2023-48795)

    Martin Mircev 發現 ProFTPD 未正確驗證網路上的使用者輸入。攻擊者可利用此弱點損毀 ProFTPD 或是執行任意程式碼。(CVE-2023-51713)

    Brian Ristuccia 發現 ProFTPD 未正確繼承父項處理程序的群組。攻擊者可利用此弱點提升特權。(CVE-2024-48651)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The remote Debian 12 host has packages installed that are affected by a vulnerability as referenced in the dsa-5827 advisory.

    - -------------------------------------------------------------------------     Debian Security Advisory DSA-5827-1                   security@debian.org     https://www.debian.org/security/                     Salvatore Bonaccorso     December 10, 2024                     https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    Package        : proftpd-dfsg     CVE ID         : CVE-2024-48651     Debian Bug     : 1082326

    Brian Ristuccia discovered that in ProFTPD, a powerful modular     FTP/SFTP/FTPS server, supplemental group inheritance grants unintended     access to GID 0 because of the lack of supplemental groups from mod_sql.

    For the stable distribution (bookworm), this problem has been fixed in     version 1.3.8+dfsg-4+deb12u4.

    We recommend that you upgrade your proftpd-dfsg packages.

    For the detailed security status of proftpd-dfsg please refer to its     security tracker page at:
    https://security-tracker.debian.org/tracker/proftpd-dfsg

    Further information about Debian Security Advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://www.debian.org/security/

    Mailing list: debian-security-announce@lists.debian.org

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2025:1028-1 advisory.

    - CVE-2024-57392: Fixed null pointer dereference vulnerability by sending a maliciously crafted message     (bsc#1238143).
    - CVE-2024-48651: Fixed supplemental group inheritance granting unintended access to GID 0 (bsc#1238141).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 11 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-3975 advisory.

    - -------------------------------------------------------------------------     Debian LTS Advisory DLA-3975-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                   Bastien Roucaris     November 29, 2024                             https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    Package        : proftpd-dfsg     Version        : 1.3.7a+dfsg-12+deb11u3     CVE ID         : CVE-2023-48795 CVE-2023-51713 CVE-2024-48651     Debian Bug     : 1082326

    ProFTPD a popular FTP server was affected by multiple     vulnerabilities.

    CVE-2023-48795

        The SSH transport protocol and variant like SFTP protocol used by         ProFTPD allowed remote attackers to bypass integrity checks         such that some packets are omitted (from the extension negotiation message),         and a client and server may consequently end up with a connection         for which some security features have been downgraded or disabled,         aka a Terrapin attack.

    CVE-2023-51713

        make_ftp_cmd function has a one-byte out-of-bounds read,         because of mishandling of quote/backslash semantics.

    CVE-2024-48651

        In proftpd with mod_sftp and mod_sql, an user with         no supplemental groups will incorrectly inherit supplemental         groups from the parent process. Thhis behavior resulted in users gaining supplemental         membership in nogroup, or depending of version root group (GID=0).

    For Debian 11 bullseye, these problems have been fixed in version     1.3.7a+dfsg-12+deb11u3.

    We recommend that you upgrade your proftpd-dfsg packages.

    For the detailed security status of proftpd-dfsg please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/proftpd-dfsg

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

远程 Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 主机上安装的程序包受到 USN-7297-1 公告中提及的多个漏洞影响。

    Fabian Bumer、Marcus Brinkmann 和 Jrg Schwenk 发现 ProFTPD 中的传输协议实现具有较弱的完整性检查。攻击者可利用此漏洞绕过加密和完整性检查等安全功能。(CVE-2023-48795)

    Martin Mirchev 发现 ProFTPD 未能正确验证网络上的用户输入。攻击者可利用此漏洞造成 ProFTPD 崩溃或可能执行任意代码。(CVE-2023-51713)

    Brian Ristuccia 发现 ProFTPD 未能正确从父进程继承群组。攻击者可利用此漏洞提升权限。(CVE-2024-48651)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-5827 公告中提及的一個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5827-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2024 年 12 月 10 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：proftpd-dfsg CVE ID： CVE-2024-48651 Debian 錯誤：1082326

    Brian Ristuccia 發現在功能強大的模組化 FTP/SFTP/FTPS 伺服器 ProFTPD 中，附加群組繼承授予非預定的 GID 0 存取權，原因是由於 mod_sql 缺少附加群組所致。

    針對穩定的發行版本 (bookworm)，已在 1.3.8+dfsg-4+deb12u4 版本中修正此問題。

    建議您升級 proftpd-dfsg 套件。

    如需有關 proftpd-dfsg 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/proftpd-dfsg

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-3975 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3975-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2024 年 11 月 29 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：proftpd-dfsg 版本：1.3.7a+dfsg-12+deb11u3 CVE ID： CVE-2023-48795 CVE-2023-51713 CVE-2024-48651 Debian 錯誤：1082326

    熱門 FTP 伺服器 ProFTPD 受到多種弱點的影響。

    CVE-2023-48795

        - ProFTPD 使用的 SSH 傳輸通訊協定及其變體 (如 SFTP 協議) 存在漏洞，遠端攻擊者可以繞過完整性檢查，導致 (從延伸模組交涉訊息) 省略部分封包，且用戶端和伺服器可能最終建立一種部分安全性功能被降級或停用的連線，即 Terrapin 攻擊。

    CVE-2023-51713

        由於未正確處理引號/反斜線語意，導致 make_ftp_cmd 函式有一位元組的超出邊界讀取。

    CVE-2024-48651

        在使用 mod_sftp 和 mod_sql 的 proftpd 中，沒有附加群組的使用者將錯誤繼承父處理程序的附加群組。此行為導致使用者獲得 nogroup 中的附加成員資格，在某些版本中則會獲得 root 群組 (GID=0) 的成員資格。

    針對 Debian 11 Bullseye，這些問題已在 1.3.7a+dfsg-12+deb11u3 版本中修正。

    建議您升級 proftpd-dfsg 套件。

    如需有關 proftpd-dfsg 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/proftpd-dfsg

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 12 主机上安装的多个程序包受到 dsa-5827 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5827-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2024 年 12 月 10 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：proftpd-dfsg CVE ID：CVE-2024-48651 Debian 缺陷：1082326

    Brian Ristuccia 发现，在功能强大的模块化 FTP/SFTP/FTPS 服务器 ProFTPD 中，补充组继承授予对 GID 0 的非预期访问权限，这是因为 mod_sql 中缺少补充组所致。

    对于稳定发行版本 (bookworm)，此问题已在版本 1.3.8+dfsg-4+deb12u4 中修复。

    我们建议您升级 proftpd-dfsg 程序包。

    如需了解 proftpd-dfsg 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/proftpd-dfsg

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-3975 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3975-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2024 年 11 月 29 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：proftpd-dfsg 版本：1.3.7a+dfsg-12+deb11u3 CVE ID：CVE-2023-48795 CVE-2023-51713 CVE-2024-48651 Debian 缺陷：1082326

    热门 FTP 服务器 ProFTPD 受到多个漏洞影响。

    CVE-2023-48795

        ProFTPD 使用的 SSH 传输协议和类似协议（如 SFTP 协议）允许远程攻击者绕过完整性检查，从而省略某些数据包（从扩展协商消息中），并且客户端和服务器可能因此而结束某些安全功能已被降级或禁用的连接，也称为 Terrapin 攻击。

    CVE-2023-51713

        由于对引用/反斜线语义的处理不当，make_ftp_cmd 函数发生一字节越界读取问题。

    CVE-2024-48651

        在含有 mod_sftp 和 mod_sql 的 proftpd 中，无附属组的用户会错误地从父进程继承附属组。此行为导致用户在 nogroup 中获得附属成员资格，或者依赖于版本根群组 (GID=0)。

    对于 Debian 11 bullseye，已在 1.3.7a+dfsg-12+deb11u3 版本中修复这些问题。

    我们建议您升级 proftpd-dfsg 程序包。

    如需了解 proftpd-dfsg 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/proftpd-dfsg

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの Debian 12 ホストには、dsa-5827 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-5827-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 氏 2024 年 12 月 10 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ : proftpd-dfsg CVE ID : CVE-2024-48651 Debian バグ : 1082326

    Brian Ristuccia 氏は、強力なモジュラー FTP/SFTP/FTPS サーバーである ProFTPD で、mod_sql からの補助グループがないために、補助グループの継承によって GID 0 への意図しないアクセスが許可されることを発見しました。

    安定版 (stable) ディストリビューション (bookworm) では、この問題はバージョン 1.3.8+dfsg-4+deb12u4 で修正されています。

    proftpd-dfsgパッケージをアップグレードすることを推奨します。

    proftpd-dfsgの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/proftpd-dfsg

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2025:1028-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2024-57392: 悪意のある細工されたメッセージの送信による null ポインターデリファレンスの脆弱性を修正しました (bsc#1238143)。
    - CVE-2024-48651: 意図しないアクセスを GID 0 に付与する補助グループ継承を修正しました (bsc#1238141)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 ホストには、dla-3975 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-3975-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2024 年 11 月 29 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    パッケージ : proftpd-dfsg バージョン : 1.3.7a+dfsg-12+deb11u3 CVE ID : CVE-2023-48795 CVE-2023-51713 CVE-2024-48651 Debian バグ : 1082326

    多くのユーザーに利用されている FTP サーバーである ProFTPD は複数の脆弱性の影響を受けます。

    CVE-2023-48795

        ProFTPD が使用する SSH トランスポートプロトコルと SFTP プロトコルのようなバリアントでは、リモート攻撃者が整合性チェックを回避でき、一部のパケットが省略 (拡張ネゴシエーションメッセージから) される可能性があります。その結果、クライアントとサーバーは、一部のセキュリティ機能がダウングレードまたは無効になった接続 (いわゆる Terrapin 攻撃) となる可能性があります。

    CVE-2023-51713

        make_ftp_cmd 関数では、引用符/バックスラッシュのセマンティクスの誤った処理により、1 バイトの領域外読み取りが発生します。

    CVE-2024-48651

        mod_sftp および mod_sql を伴う proftpd では、補助グループを持たないユーザーが補助グループを親プロセスから不適切に継承します。この動作により、ユーザーは nogroup の補助メンバーシップを取得するか、バージョン root グループ (GID=0) に依存します。

    Debian 11 bullseye においては、これらの問題はバージョン 1.3.7a+dfsg-12+deb11u3 で修正されました。

    proftpd-dfsgパッケージをアップグレードすることを推奨します。

    proftpd-dfsgの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/proftpd-dfsg

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
216762	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 : ProFTPD の脆弱性 (USN-7297-1)	Nessus	Ubuntu Local Security Checks	2025/2/25	2025/2/25	critical
216762	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 : ProFTPD vulnerabilities (USN-7297-1)	Nessus	Ubuntu Local Security Checks	2025/2/25	2025/2/25	critical
216762	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10：ProFTPD 弱點 (USN-7297-1)	Nessus	Ubuntu Local Security Checks	2025/2/25	2025/2/25	critical
212267	Debian dsa-5827 : proftpd-basic - security update	Nessus	Debian Local Security Checks	2024/12/10	2024/12/10	high
233399	SUSE SLES15 / openSUSE 15 Security Update : proftpd (SUSE-SU-2025:1028-1)	Nessus	SuSE Local Security Checks	2025/3/27	2025/3/27	high
211971	Debian dla-3975 : proftpd-basic - security update	Nessus	Debian Local Security Checks	2024/11/29	2024/11/29	critical
216762	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS 24.10：ProFTPD 漏洞 (USN-7297-1)	Nessus	Ubuntu Local Security Checks	2025/2/25	2025/2/25	critical
212267	Debian dsa-5827：proftpd-basic - 安全性更新	Nessus	Debian Local Security Checks	2024/12/10	2024/12/10	high
211971	Debian dla-3975：proftpd-basic - 安全性更新	Nessus	Debian Local Security Checks	2024/11/29	2024/11/29	critical
212267	Debian dsa-5827：proftpd-basic - 安全更新	Nessus	Debian Local Security Checks	2024/12/10	2024/12/10	high
211971	Debian dla-3975：proftpd-basic - 安全更新	Nessus	Debian Local Security Checks	2024/11/29	2024/11/29	critical
212267	Debian dsa-5827 : proftpd-basic - セキュリティ更新	Nessus	Debian Local Security Checks	2024/12/10	2024/12/10	high
233399	SUSE SLES15 / openSUSE 15 セキュリティ更新 : proftpd (SUSE-SU-2025:1028-1)	Nessus	SuSE Local Security Checks	2025/3/27	2025/3/27	high
211971	Debian dla-3975 : proftpd-basic - セキュリティ更新	Nessus	Debian Local Security Checks	2024/11/29	2024/11/29	critical

检测

插件搜索

critical

critical

critical

high

high

critical

critical

high

critical

high

critical

high

high

critical