CVE-2020-15152

Versões do ftp-srv anteriores à 2.19.6

Versões do ftp-srv anteriores à 3.1.2

Versões do ftp-srv anteriores à 4.3.4

A vulnerabilidade permite a falsificação de solicitações do lado do servidor (Server-Side Request Forgery) devido ao comando PORT permitir IPs arbitrários, o que pode fazer com que o servidor estabeleça uma conexão em outro local. Isso é possível porque o protocolo FTP cria duas conexões, uma para comandos e outra para transferência de dados, e o comando PORT envia o IP e a porta para que o servidor se conecte ao cliente. Como o cliente pode enviar um IP arbitrário com o comando PORT, isso pode ser usado para fazer com que o servidor estabeleça uma conexão em outro local.

Para versões anteriores à 2.19.6, atualize para a versão 2.19.6 ou posterior.

Para versões anteriores à 3.1.2, atualize para a versão 3.1.2 ou posterior.

Para versões anteriores à 4.3.4, atualize para a versão 4.3.4 ou posterior.

Como solução temporária, considere colocar o comando FTP PORT na lista negra para impedir que o servidor exponha esse comportamento por meio de conexões ativas até que uma correção seja aplicada. Isso pode ser feito configurando o ftp-srv com uma lista negra, por exemplo:

const ftp = new FtpSrv({

 blacklist: [‘PORT’]

});