The Vigil@nce team watches public vulnerabilities impacting your computers, and then offers security solutions, a database and tools to fix them.

Computer vulnerabilities of jftpgw

vulnerability announce CVE-2004-0448

Attaque par format de jftpgw

Synthesis of the vulnerability

Un attaquant du réseau peut faire exécuter du code sur les machines où jftpgw est installé.
Impacted products: Debian, jftpgw.
Severity: 2/4.
Consequences: administrator access/rights, privileged access/rights.
Provenance: intranet client.
Creation date: 01/06/2004.
Identifiers: BID-10438, CVE-2004-0448, DSA-510, DSA-510-1, V6-LINUXJFTPGW, VIGILANCE-VUL-4202.

Description of the vulnerability

Le programme jftpgw est un proxy FTP.

Ce proxy journalise ses messages à l'aide de l'appel suivant :
  syslog(logtype, str);

La variable str contient des données, comme des noms de fichier, provenant directement de l'attaquant.

Un attaquant du réseau peut donc utiliser des commandes FTP contenant des caractères de formatage (%s, %n, etc.) dans le but de faire exécuter du code sur la machine où jftpgw est installé.
Full Vigil@nce bulletin... (Free trial)
Our database contains other pages. You can request a free trial to read them.

Display information about jftpgw: