CVE-2024-58383

Nome do Software Vulnerável e Versões Afetadas Froxlor versões anteriores a 2.2.0

Description Instâncias configuradas para usar pure-ftpd são afetadas por um problema onde os modelos de configuração XML em lib/configfiles/ geram o arquivo /etc/pure-ftpd/db/mysql.conf com o modo 0644. Como este arquivo contém a senha do usuário SQL do Froxlor, qualquer usuário local não privilegiado capaz de executar comandos ou código no host — incluindo usuários virtuais que podem fazer upload de scripts PHP ou CGI — pode ler o arquivo para obter as credenciais do banco de dados. Esse acesso pode ser posteriormente utilizado para alterar o hash da senha e a semente TOTP de um administrador, permitindo que um invasor faça login como administrador do Froxlor e, potencialmente, obtenha privilégios de root no sistema.

Recommendations Atualize o Froxlor para a versão 2.2.0 ou posterior. Como medida de mitigação, considere o uso de autenticação via unix socket sem senha para conexões de banco de dados, a fim de eliminar a necessidade de armazenar senhas em arquivos de configuração.