wsftp-server-scanner

Lokale Triage für das Patch-Paket von Progress WS_FTP Server vom 29. Oktober 2026: 15 Schwachstellen, eine davon mit 10.0. Gib ihm eine Version, die dir gehört, und es sagt dir, ob diese Installation noch offen ist, und es erkennt die Falle, die den ersten gepatchten Build täuschen lässt. Es greift nie auf das Netzwerk zu, sondiert nie einen Server, sendet nie eine Payload.

Das Paket

Detail	Wert
Schlagzeile	CVE-2026-84295, unsachgemäße Authentifizierung, 10.0 kritisch: Ein nicht authentifizierter Remote-Angreifer kann auf sensible Informationen zugreifen, einschließlich administrativer Anmeldedaten
Nächstschlimmste	CVE-2026-90868, OS-Command-Injection, 9.9; CVE-2026-90864, CVE-2026-90863, CVE-2026-90866 mit 9.1; CVE-2026-90865, OS-Command-Injection, 9.0
Gesamt	15 CVEs: 6 kritisch, 3 hoch, 6 mittel, laut der Paket-Auswertung
Ausnutzung	Keine bestätigt, kein öffentlicher Proof of Concept gemeldet, Stand 31. Oktober 2026. Das ist eine Aussage darüber, was gemeldet wurde, kein Grund zu warten: Eine nicht authentifizierte 10.0-Schwachstelle bei Anmeldedaten in einem File-Transfer-Gateway braucht keine lange Zündschnur
Produkt	Progress WS_FTP Server nur unter Windows

Die Falle: zwei gefixte Builds, nicht einer

Gruppe	CVEs	Gefixt in
A	CVE-2026-84294, CVE-2026-84295, CVE-2026-84296	2024.0.6 / 2025.0.3
B	CVE-2026-90861 bis CVE-2026-90872 (12 CVEs)	2024.0.7 / 2025.0.4

Ein Host auf 2024.0.6 oder 2025.0.3 hat die 10.0-Schwachstelle geschlossen und ist weiterhin offen für die 9.9-Command-Injection-Schwachstelle. Das Patchen auf den ersten gepatchten Build fühlt sich erledigt an und ist es nicht. Dieses Tool bewertet die beiden Gruppen getrennt und gibt TRAP genau für diesen Fall aus. Die einzigen vollständig gepatchten Builds in der Tabelle sind 2024.0.7 und 2025.0.4 (und spätere Builds in diesen Zweigen).

Warum lokal, nicht remote

WS_FTP Server läuft unter Windows, und Remote-Version-Fingerprinting ist hier unzuverlässig: Das Login-Banner kann verborgen und die SSH-Identifikation unterdrückt werden. Daher sondiert dieses Tool nichts. Führe es auf dem Windows-Host selbst aus (--local liest die Deinstallations-Einträge von Programs and Features über winreg), oder gib ihm eine Version aus WS_FTP Manager, About oder Programs and Features (--version), oder eine exportierte Deinstallationsliste (--registry-json).

Versionsnummerierung, beide Formen akzeptiert

Progress verkauft dieselben Releases unter zwei Nummerierungen: 2024.0 ist 9.0 und 2025.0 ist 10.0. Also bedeutet 9.0.6 2024.0.6 und 10.0.4 bedeutet 2025.0.4, und dieses Tool bewertet sie gleich. Releases älter als 2024.0 (9.0), einschließlich 2022.0 (8.8.x), haben keinen gepatchten Build in ihrem Zweig: Sie werden für beide Gruppen als VULNERABLE bewertet, und die Lösung ist ein Zweig-Upgrade auf 2024.0.7 oder 2025.0.4, kein Patch an Ort und Stelle.

Was es prüft

• Eine von dir angegebene Version (--version 2024.0.6), pro Gruppe gegen die aufgeteilte Fix-Tabelle bewertet
• Diesen Windows-Host (--local): den WS_FTP Server-Deinstallations-Eintrag, nach Namen abgeglichen, damit eine WS_FTP Pro-Client-Installation nicht als Server bewertet wird
• Ein Offline-Inventar (--registry-json entries.json): eine JSON-Liste von {DisplayName, DisplayVersion}-Einträgen, für Flotten, die Programs and Features zentral exportieren
• Die vollständige Tabelle (--list): alle 15 CVEs mit ihrer Gruppe und ihrem gefixten Build

Verwendung

# grade one version, trap case
python3 wsftp_scanner.py --version 2024.0.6

# fully patched build
python3 wsftp_scanner.py --version 2025.0.4

# legacy marketing numbering, same grade
python3 wsftp_scanner.py --version 9.0.6

# on the Windows host itself
python3 wsftp_scanner.py --local

# from an exported uninstall list
python3 wsftp_scanner.py --registry-json entries.json

# machine-readable output for fleets
python3 wsftp_scanner.py --version 2024.0.5 --json

# the full 15-CVE table
python3 wsftp_scanner.py --list

Exit-Codes: 0 = nichts Verwundbares gefunden, 2 = verwundbarer Fund, 1 = Scan-Fehler. UNKNOWN ändert den Exit-Code nicht, ist aber nicht sauber: Ein Branch außerhalb von 2024.0 / 2025.0 (außer einem Release vor 2024.0) wird als UNKNOWN eingestuft, weil für ihn kein fester Build in der Tabelle dieses Tools enthalten ist.

Wo Quellen voneinander abweichen und was noch unbestätigt ist

Zunächst eines: Der primäre Progress-Wissensartikel für diesen Batch befindet sich hinter einer Progress ID-Anmeldung und konnte daher für diesen Build nicht direkt geöffnet werden. Die obige Tabelle der aufgeteilten Fixes wird durch unabhängige CVE-Datensätze bestätigt (CVE-Projektdatensätze über cvefeed, SecurityFocus-Einträge und die Batch-Zusammenfassung), die alle dieselbe Progress-Advisory zitieren, und die Gruppenteilung (3 + 12 = 15) ist über alle hinweg konsistent. Falls Sie über einen Progress-Login verfügen, gleichen Sie den Artikel mit dieser Tabelle ab und eröffnen Sie ein issue, falls etwas abweicht.

Zweitens werden einzelne Scores nur dort ausgegeben, wo ein CVE-Datensatz geprüft wurde: 84295 mit 10.0, 90868 mit 9.9, 90864 / 90863 / 90866 mit 9.1, 90865 mit 9.0, 90867 mit 8.1, 84294 mit 7.7, 90869 mit 7.5, 90872 mit 6.6, 90871 mit 5.3. Die Scores für 84296, 90861, 90862 und 90870 wurden in den geprüften Quellen nicht einzeln bestätigt, daher listet das Tool sie nach Gruppe auf, ohne einen Score zu behaupten. Das ändert nichts an der Einstufung: Die Gruppenzugehörigkeit, nicht der individuelle Score, entscheidet über den festen Build.

Gegenmaßnahmen, wenn Sie heute nicht patchen können

Das Upgrade ist die Lösung; für die Branches vor 2024.0 gibt es keinen Patch und keinen Teil-Patch, der Gruppe B schließt. Bis Sie ein Upgrade durchführen können, beschränken Sie die administrativen Web-Konsolen ausschließlich auf interne Netzwerke und behandeln Sie jeden internetseitig erreichbaren WS_FTP Server unterhalb von 2024.0.7 / 2025.0.4 als anfällig für eine unauthentifizierte Schwachstelle bei Anmeldedaten. Rotieren Sie administrative Anmeldedaten auf jedem Host, der während des ungepatchten Zustands internetseitig erreichbar war: Die zentrale Schwachstelle legt sie offen, und ein Patch macht sie nicht wieder unoffengelegt.

Tests

python3 -m unittest discover -s tests -v

17 Tests: Versionsparsing in beiden Nummerierungsschemata, die Falle in beiden Zweigen, vollständig gepatchte Builds, Äquivalenz der Legacy-Versionen 9.0 / 10.0, Bewertung ohne Fix vor 2024.0, UNKNOWN bei nicht gelistetem Zweig, Abgleich mit Registry-Einträgen sowie CLI-Exit-Codes plus die Anzahl der 15-CVE-Liste.

Danksagung

• Progress Software, für das Patch-Batch und die aufgeteilte Fix-Tabelle, gegen die dieses Tool bewertet
• Dem CVE-Projekt und den CNA-Einträgen, für die Beschreibungen und Scores pro CVE
• SecurityOnline, SecurityFocus und cvefeed, deren Einträge die Tabelle bestätigten, während der Hauptartikel hinter einer Login-Sperre blieb

Haftungsausschluss

Nur für defensive Triage. Dieses Tool prüft Versionsstrings und meldet, ob eine Installation unterhalb eines festen Builds liegt. Es sendet keinen Traffic, sondiert keinen Server und ist kein Ersatz für die Herstellerempfehlung. Verwende es nur auf Systemen, die dir gehören oder deren Audit du autorisiert bist.

Recherche von Vineeth Kumar (foxcornlab). Hast du einen Bug gefunden oder möchtest du ein Feature, öffne ein issue.