Improper Input Validation in pyftpdlib

CVE-2007-6739 → 在 GitHub 檢視 ↗ 在 CVE.org 檢視 ↗ 在 NVD 檢視 ↗

描述

FTPServer.py in pyftpdlib before 0.2.0 allows remote attackers to cause a denial of service via a long command.

基本資訊

類型: reviewed
嚴重度: high
GitHub 上的公告: 開啟公告 ↗
儲存庫公告: —
原始碼: 瀏覽原始碼 ↗
公開（公告）: 2022-05-01 18:45:57 UTC
更新時間: 2024-10-21 21:01:33 UTC
GitHub 審核: 2022-06-08 22:28:57 UTC
NVD 公開: 2010-10-19

EPSS Score

Score	Percentile
0.60%	69.53%

CVSS Scores

Base score	Version	Severity	Vector
7.5	3.1	—	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H` 點擊展開攻擊向量 (AV:N) 可經網際網路或企業內可路由網段從遠端觸達，攻擊者不必在裝置旁邊。攻擊複雜度 (AC:L) 前置條件清楚，成功路徑穩定，不必仰賴罕見競態或極端環境。權限需求 (PR:N) 不必事先登入或提權，匿名工作階段也可能成為跳板。使用者互動 (UI:N) 不必受害者點連結、放行巨集或安裝軟體，攻擊鏈可自動走完。作用域 (S:U) 破壞局限在脆弱元件原本的安全權限與信任域之內。機密性影響 (C:N) 幾乎談不上實質的敏感資料外洩。完整性影響 (I:N) 對紀錄真實性與不可否認性的破壞可忽略。可用性影響 (A:H) 可造成長時間中斷、關鍵交易無法完成，或伴隨資料毀損導致難以自癒。
8.7	4.0	—	`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N` 點擊展開攻擊向量 (AV:N) 可經網際網路或企業可路由網段遠端觸達，攻擊者不必在裝置旁邊。攻擊複雜度 (AC:L) 步驟短、路徑清楚，重現成本低。攻擊要件 (AT:N) 除網路可達外，不必額外湊齊罕見基礎設施或資料形態。權限需求 (PR:N) 匿名或一般工作階段即可起步，不必事先提權。使用者互動 (UI:N) 不必受害者點連結、放行巨集或安裝軟體，攻擊鏈可自動走完。受影響系統的機密性影響 (VC:N) 從被攻破的元件幾乎讀不走有價值的機密資料。受影響系統的完整性影響 (VI:N) 對紀錄真偽與業務規則幾乎不構成威脅。受影響系統的可用性影響 (VA:H) 可造成長時間中斷、關鍵交易無法完成，或伴隨資料毀損導致難以自癒。後續系統的機密性影響 (SC:N) 經脆弱點波及下游後，幾乎讀不走有價值的機密資料。後續系統的完整性影響 (SI:N) 下游紀錄與業務規則幾乎不被撼動。後續系統的可用性影響 (SA:N) 下游不至於被拖到長時間癱瘓。

Identifiers

Type	Value
GHSA	GHSA-5f3f-pg2c-cxcv ↗
CVE	CVE-2007-6739 ↗

CWEs

CWE id	Name
CWE-20	Improper Input Validation

Affected packages (1)

Vulnerable version ranges and first patched releases as published by GitHub.

Ecosystem	Package	Vulnerable range	First patched	Vulnerable functions
pip	pyftpdlib	< 0.2.0	0.2.0	—

References

cvelogic Threat Intelligence