CVE-2026-48858

Erlang/OTP ftp (ftp_internal modulu) komponentindəki Server-Side Request Forgery (SSRF) zəifliyi, təsdiqlənməmiş PASV cavab IP ünvanı vasitəsilə FTP bounce hücumlarına və SSRF-ə imkan verir. ftp_internal:handle_ctrl_result/2 PASV idarəedicisi (mode=passive, ipfamily=inet, ftp_extension=false) serverin 227 cavabından IP ünvanını çıxarır və onu idarəetmə bağlantısının peer ünvanına qarşı yoxlamadan birbaşa gen_tcp:connect/4 funksiyasına ötürür. Müvafiq EPSV idarəediciləri idarəetmə bağlantısından IP-ni əldə etmək üçün düzgün şəkildə peername(CSock) funksiyasını çağırsa da, PASV idarəedicisi bunu etmir. Zərərli və ya kompromisə uğramış FTP serveri müştərinin məlumat bağlantısını istənilən daxili hosta və porta yönləndirə bilər. Oxuma əməliyyatları zamanı (ftp:ls/1,2, ftp:nlist/1,2, ftp:recv/2,3) yönləndirilmiş hədəfdən gələn məlumatlar çağıran tərəfə qaytarılır. Yazma əməliyyatları zamanı (ftp:send/2,3, ftp:append/2,3) faylın məzmunu yönləndirilmiş hədəfə göndərilir. Bu, daxili hostlara və bulud metadata son nöqtələrinə qarşı SSRF-ə, həmçinin üçüncü tərəf hostlarına qarşı FTP bounce hücumlarına şərait yaradır. Zəiflik olan yol standart konfiqurasiyadır (mode=passive, ipfamily=inet, ftp_extension=false). RFC 2577 bölmə 3-də PASV cavab IP-sinin idarəetmə bağlantısı peer-inə qarşı yoxlanılması açıq şəkildə tövsiyə olunur. ftp tətbiqi köhnəlmişdir və OTP-30 versiyasında silinməsi planlaşdırılıb. Bu zəiflik lib/inets/src/ftp/ftp_internal.erl (inets 5.10.4-dən 6.5-ə qədər, OTP 17.4-dən 20.3-ə qədər) və lib/ftp/src/ftp_internal.erl (ftp 1.0 və daha yeni, OTP 21.0 və daha yeni) proqram faylları ilə bağlıdır. Bu problem OTP 17.4-dən OTP 29.0.2-yə qədər, həmçinin OTP 28.5.0.2 və OTP 27.3.4.13 versiyalarını, müvafiq olaraq inets 5.10.4-dən 7.0-a qədər və ftp 1.0-dan 1.2.6, 1.2.4.1 və 1.2.3.1 versiyalarına qədər olan hissələri əhatə edir.