Security_200111209 - FFFTP Wiki - FFFTP

FFFTP 1.98c以前に存在する脆弱性について（2011年12月09日）

FFFTP 1.98c以前に意図しない実行ファイルを実行してしまう脆弱性が確認されています（JVN#94002296）。FFFTP 1.98dではこの脆弱性を修正していますので、FFFTP 1.98c以前を利用しているユーザーは1.98d以降へのアップグレードを推奨いたします。

【概要】

FFFTP 1.98c以前に、意図しない実行ファイルを実行してしまう脆弱性が存在します。

【脆弱性を含むバージョン】

FFFTP 1.98c以前

【詳細情報】

FFFTPには、ユーザーからの操作によりローカルのディスク上にある指定したファイルを開く機能があります。このとき、指定したファイルに拡張子がない場合、意図しない実行ファイルを実行してしまう脆弱性が存在します。

たとえば、「README」というファイルをFFFTPから開こうとした場合、同じフォルダに「README.exe」など実行可能なファイルが存在した場合、READMEファイルではなく、指定したファイルと同じフォルダ内にある「README.exe」が実行されてしまうというものです。

【想定される影響】

特定の環境下でプログラムを実行している権限で任意のコードを実行される可能性があります。

【対策方法】

この脆弱性が修正されているFFFTP 1.98d以降へのアップデートを推奨いたします。1.98d以降へのアップデートが不可能でやむを得ず1.98c以下を利用する場合、FFFTPからローカルにあるファイルを開くことは行わないようにしてください。

【この情報についての詳細】

この情報についての詳細は「FFFTPに関するセキュリティ/脆弱性関連情報」 （http://sourceforge.jp/projects/ffftp/wiki/Security）にて公開されています。