原文

ProFTPDのmod_sftpモジュールには、認証済みSFTPユーザーが到達可能なヒープベースのバッファオーバーフローの脆弱性があります。fxp_packet_read()関数は、攻撃者が提供する32ビットビッグエンディアン形式のSFTPパケット長を最小限の妥当性検査しか行わずに受け入れます。値が0の場合、読み込みパスの他の箇所で符号なし減算が約4GBまでアンダーフローします。その過剰なサイズの要求はコアメモリアロケータに到達し、丸められたサイズはsize_t型で計算されますが、new_block()には32ビットの整数として渡されます。0x100000000の下位32ビットが0であるため、new_block()は約512バイトの小さなブロックを返しますが、呼び出し元には約4GBを受け取ったと伝えられます。その後のfillループは544バイトの割り当ての末尾を越えて、攻撃者の制御下にあるバイトをストリームし、攻撃者制御下のヒープバッファオーバーフローを引き起こします。認証済みユーザーは、単一の不正なSFTPパケット（packet_len=0かつ約544バイトを超えるボディ）で接続ごとのProFTPDセッション子プロセスを任意にクラッシュさせ、信頼性の高い認証済みリモートサービス拒否（DoS）を引き起こすことが可能です。ヒープレイアウトや隣接する割り当てに依存しますが、ヒープメタデータの破損やサービス拒否以上の影響が発生する可能性もあります。ただし、提供された概念実証ではサービス拒否のみが確認されています。