Sicherheitslücke in AceFTP erlaubt Systemzugriff
Angreifer können über einen präparierten FTP-Server eine Schwachstelle in AceFTP ausnutzen, um beliebige Dateien auf ein betroffenes System hoch zu laden.
Nach einem Bericht von Secunia tritt die Sicherheitslücke in Version 3.80.3 von AceFTP auf. Andere Versionen sind unter Umständen ebenfalls betroffen. Die Schwachstelle entsteht beim Download von Verzeichnissen. Enthalten diese Dateien, deren Namen aus speziellen Verzeichniswechselinstruktionen besteht, können Angreifer diese für einen Verzeichniswechselangriff ausnutzen. Dies ist beispielsweise durch Manipulation eines FTP-Servers möglich. Ein Patch steht bislang aus; es wird empfohlen, ausschließlich Verbindungen zu vertrauenswürdigen FTP-Servern aufzubauen. (vgw)