CoreFTP Server路径遍历漏洞（CVE-2022-22836）

CVE编号

CVE-2022-22836

利用情况

暂无

补丁情况

官方补丁

披露时间

2022-01-10

漏洞描述

CoreFTP Server是一款文件传输服务器。 CoreFTP Server 727之前版本存在路径遍历漏洞。经过身份认证的攻击者可利用该漏洞借助HTTP PUT请求中的“../”导致路径遍历（用于文件创建）。
受影响系统： Coreftp CoreFTP Server < 727

解决建议

Coreftp已经为此发布了一个安全公告（CVE-2022-22836）以及相应补丁:

链接：http://www.coreftp.com/forums/viewtopic.php?f=15&t=4022509

参考链接
http://www.coreftp.com/forums/viewtopic.php?f=15&t=4022509
https://yoursecuritybores.me/coreftp-vulnerabilities/

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	coreftp	core_ftp	*		Up to (including) 1.2
	运行在以下环境
	应用	coreftp	core_ftp	2.0	-

阿里云评分 5.2

• 攻击路径 远程
• 攻击复杂度 复杂
• 权限要求 无需权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 数据泄露
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 N/A

CWE-ID 漏洞类型 CWE-22 对路径名的限制不恰当（路径遍历）