概要
ProFTPD 1.3.9aより前のバージョンにおいて、mod_sqlモジュールにSQLインジェクション脆弱性が存在します。この脆弱性は、USERリクエストのログ記録処理における%Uマクロ展開に起因しており、ユーザー名フィールドを通じてSQL文を注入することが可能です。
SQLバックエンドの構成によっては、この脆弱性を悪用してリモートからのコード実行（RCE）に至る可能性があります。特にPostgreSQLのCOPY TO PROGRAMのようなコマンド実行機能が有効な環境では危険性が高まります。
本脆弱性に対する概念実証コード（PoC）が公開されているため、攻撃が容易に再現される状況にあります。ProFTPDはLinuxサーバーで広く使用されているFTPサーバーソフトウェアであり、インターネットに公開されたFTPサーバーを運用している場合は速やかな対応が必要です。
CVSSベクトル
| 指標 | 値 |
|---|---|
| CVSSスコア | 8.1 |
| 深刻度 | High |
| CWE | CWE-89（SQLインジェクション） |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な特権レベル | 不要 |
影響を受けるソフトウェア
- ProFTPD 1.3.9aより前のバージョン（mod_sqlモジュール使用時）
修正バージョンと回避策
- ProFTPD 1.3.9a以降へアップデートしてください
- アップデートが困難な場合は、mod_sqlモジュールのログ設定で%Uマクロの使用を一時的に停止することを検討してください
- FTPサーバーへのアクセスをIPアドレスで制限することも有効な緩和策です
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。