Dec 11: INFOSERVE-ADV2011-09 - zFTPServer Suite 6.0.0.52 'rmdir' Directory Traversal

Advisory:
zFTPServer Suite 6.0.0.52 'rmdir' Directory Traversal
Advisory ID:
INFOSERVE-ADV2011-09
Author:
Stefan Schurtz
Contact:
Affected Software:
Successfully tested on zFTPServer Suite 6.0.0.52
Vendor URL:
Vendor Status:
fixed
CVE-ID:
CVE-2011-4717
 
==========================
Vulnerability Description
==========================
 
zFTPServer 'rmdir' is prone to a Directory Traversal, which makes it possible to delete directories in the system
 
==================
PoC-Exploit
==================

Tested on: WindowsXP (SP3)
User Permissions:  Files->Read / Directories->List, Delete



=========
Solution
=========

Fixed, but no new release available, as a workaround disable "Directories->Delete"

====================
Disclosure Timeline
====================

04-Dec-2011 - informed vendor
06-Dec-2011 - fixed by vendor
10-Dec-2011 - release date of this security advisory

========
Credits
========

Vulnerabilitiy found and advisory written by the INFOSERVE security team.

===========
References
===========

http://forum.zftpserver.com/viewtopic.php?f=4&t=2927
http://www.infoserve.de/system/files/advisories/INFOSERVE-ADV2011-09.txt
Geschrieben von Stefan Schurtz in Security Advisories Kommentare: (0) Trackbacks: (0)
Tags für diesen Artikel: , , , ,
Zuletzt bearbeitet am 11.12.2011 12:56

Trackbacks
Trackback-URL für diesen Eintrag

Keine Trackbacks

Kommentare
Ansicht der Kommentare: (Linear | Verschachtelt)

Noch keine Kommentare


Kommentar schreiben


Um maschinelle und automatische Übertragung von Spamkommentaren zu verhindern, bitte die Zeichenfolge im dargestellten Bild in der Eingabemaske eintragen. Nur wenn die Zeichenfolge richtig eingegeben wurde, kann der Kommentar angenommen werden. Bitte beachten Sie, dass Ihr Browser Cookies unterstützen muss, um dieses Verfahren anzuwenden.
CAPTCHA 1CAPTCHA 2CAPTCHA 3CAPTCHA 4CAPTCHA 5


Textile-Formatierung erlaubt
Sie können [geshi lang=LANG][/lang] Tags verwenden um Quellcode abhängig von der gewählten Programmiersprache einzubinden