CVE-2026-67607
Təsvir
LightFTP 2.3.1 versiyasında ftpserv.c faylının worker_thread_cleanup() funksiyasında qalıq yarış vəziyyəti (race condition) zəifliyi (CVE-2024-11144 üçün natamam düzəliş) mövcuddur. Bu zəiflik uzaqdakı autentifikasiya olunmamış hücumçulara tələb olunan mutex kilidinə sahib olmadan hər bir bağlantıya aid ortaq vəziyyətə sinxronizasiyasız giriş etməklə demonu qeyri-stabil hala gətirməyə və ya çökdürməyə imkan verir. Hücumçular ortaq kontekstdəki sinxronizasiyanın çatışmazlığına və ayrılmış thread ID-nin təkrar istifadəsinə istismar etmək üçün LIST kimi məlumat ötürmə əmrini dərhal ardından ABOR əmri ilə göndərə bilərlər ki, bu da demonun qeyri-stabil işləməsinə və ya çökməsinə səbəb olaraq xidmətdən imtinaya (DoS) gətirib çıxara bilər. 2.3.1 yaması yalnız zaman pəncərəsini daraltmışdır (əlavə yenidən yoxlama və təmizləmə ardıcıllığının dəyişdirilməsi), lakin çatışmayan kilidi əlavə etməmişdir, buna görə də əsas yarış vəziyyəti qalmaqdadır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| hfiref0x LightFTP | v ≤ 2.3.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.