Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en el archivo diraliases.c en la función *lookup_alias(const char alias) o print_aliases(void) en la lista vinculada diraliases en Pure-FTPd (CVE-2020-9274)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-824 Acceso a puntero no inicializado
Fecha de publicación:
26/02/2020
Última modificación:
07/11/2023

Descripción

Se detectó un problema en Pure-FTPd versión 1.0.49. Se ha detectado una vulnerabilidad de puntero no inicializado en la lista vinculada diraliases. Cuando es llamada la función *lookup_alias(const char alias) o print_aliases(void), no pueden detectar correctamente el final de la lista vinculada e intentan acceder a un miembro de la lista no existente. Esto está relacionado con la función init_aliases en el archivo diraliases.c.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:pureftpd:pure-ftpd:*:*:*:*:*:*:*:* 1.0.50 (excluyendo)
cpe:2.3:o:debian:debian_linux:8.0:*:*:*:*:*:*:*
cpe:2.3:a:fedoraproject:extra_packages_for_enterprise_linux:7.0:*:*:*:*:*:*:*
cpe:2.3:a:fedoraproject:extra_packages_for_enterprise_linux:8.0:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:30:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:31:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:32:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:8.0:*:*:*:*:*:*:*
cpe:2.3:o:canonical:ubuntu_linux:16.04:*:*:*:esm:*:*:*