CVE-2017-17405

描述

Ruby before 2.4.3 allows Net::FTP command injection. Net::FTP#get, getbinaryfile, gettextfile, put, putbinaryfile, and puttextfile use Kernel#open to open a local file. If the localfile argument starts with the "|" pipe character, the command following the pipe character is executed. The default value of localfile is File.basename(remotefile), so malicious FTP servers could cause arbitrary command execution.

如何修補 CVE-2017-17405

要修補 CVE-2017-17405,請將受影響套件升級到下列已修補版本。

• —升級至 2.4.3-r0 或更新版本

CVE-2017-17405 正在被利用嗎?

可能 — EPSS 為 73.8%,屬於高被利用機率區間,建議優先修補。

受影響套件(1)

• >= 2.2, < 2.4.3-r0

CVSS 分數

參考連結(1)

• ADVISORYsecurity.alpinelinux.org/vuln/CVE-2017-17405