Resumen Ejecutivo

CVE-2026-42167 es una vulnerabilidad crítica de inyección SQL pre-autenticación en el módulo de extensión mod_sql de ProFTPD. Una falla lógica en la función is_escaped_text() permite que un atacante no autenticado omita el escape de caracteres SQL manipulando un comando USER cuyo valor satisface una heurística defectuosa de "ya escapado". El SQL inyectado se pasa directamente a la base de datos backend mediante PQexec(), que admite consultas apiladas.

Cuando el rol de base de datos de ProFTPD es un superusuario de PostgreSQL — una mala configuración común en despliegues contenedorizados — la inyección alcanza la directiva COPY TO PROGRAM de PostgreSQL, resultando en Ejecución Remota de Código a nivel de sistema operativo sin autenticación como el usuario del sistema postgres. No se requieren credenciales, acceso previo ni interacción del usuario.

Software Afectado

ProFTPD es un servidor FTP de código abierto ampliamente desplegado. Según Shodan, existen más de 160.000 instancias de ProFTPD públicamente accesibles en internet. El módulo mod_sql se habilita comúnmente en paneles de control de hosting compartido, incluyendo cPanel, Plesk, DirectAdmin, Webmin e ISPConfig.

Descripción de la Vulnerabilidad

El módulo mod_sql de ProFTPD admite autenticación y registro de actividad basados en SQL. Las cadenas de formato de registro pueden incluir variables de sustitución como %U (nombre de usuario), %r (host remoto) y %m (comando FTP). Estas variables se expanden en tiempo de ejecución y se insertan en consultas SQL ejecutadas contra el backend configurado.

Una configuración vulnerable típica:

En esta configuración, el valor proporcionado en el comando FTP USER se sustituye por %U y se incluye directamente en una sentencia SQL INSERT. Antes de la inserción, el valor se pasa a través de is_escaped_text() para determinar si necesita escape. Esta función contiene una falla lógica crítica.

Análisis de la Causa Raíz

La Función Defectuosa is_escaped_text()

Ubicada en contrib/mod_sql.c, la función aplica la siguiente heurística para decidir si una cadena está "ya escapada":

Cuando esta función devuelve TRUE, sql_resolved_append_text() (línea 777) inserta el valor crudo, sin escapar, directamente en la cadena de consulta. El valor se ejecuta luego mediante PQexec() en contrib/mod_sql_postgres.c (línea 1146), que admite consultas apiladas (multi-sentencia).

Por Qué Falla la Heurística

La heurística probablemente fue diseñada para detectar cadenas que ya estaban rodeadas por delimitadores de cadena SQL. Sin embargo, no intenta verificar que el contenido interno sea seguro — solo que no haya comillas simples adicionales. Esto significa que cualquier payload que:

• Comience con '
• Termine con '
• No use comillas simples internas (por ejemplo, use el entrecomillado con dólar $$ de PostgreSQL)

...pasará la verificación y se inyectará textualmente en la consulta SQL.

Flujo de Inyección

Requisitos Previos

La condición de superusuario se cumple frecuentemente en despliegues contenedorizados donde el usuario de BD de ProFTPD se crea mediante POSTGRES_USER=... en la imagen oficial de Docker de PostgreSQL, o cuando un administrador otorga al rol de ProFTPD la propiedad de la base de datos.

Cadena de Explotación

Análisis del Payload

El payload de inyección se entrega mediante el comando FTP USER:

Verificación de la Condición de Omisión

Desglose del Payload

Prueba de Concepto

Advertencia: Este PoC se proporciona únicamente con fines educativos y de pruebas autorizadas. No lo utilice contra sistemas que no posea o para los cuales no tenga permiso escrito explícito para probar.

Ejemplo de uso:

Impacto

Cualquier sistema donde ProFTPD esté co-ubicado con una instancia de PostgreSQL o tenga acceso de superusuario a ella está en riesgo de compromiso total del host. El movimiento lateral a sistemas adyacentes y la persistencia mediante trabajos cron o inyección de claves SSH son trivialmente alcanzables post-explotación.

Remediación

Acción Inmediata

• Actualice ProFTPD a la versión 1.3.9a o posterior — el parche corrige is_escaped_text() con el manejo adecuado de consultas parametrizadas

Si la Actualización No Es Inmediatamente Posible

• Deshabilite el registro basado en mod_sql por completo (elimine las directivas SQLLog)
• Elimine las variables de registro pre-autenticación (%U, %r, %m) de las definiciones de SQLNamedQuery

Defensa en Profundidad

• Asegúrese de que el rol de base de datos de ProFTPD no sea un superusuario de PostgreSQL (principio de mínimo privilegio)
• Restrinja el rol de BD solo a INSERT en la tabla de registro y SELECT en la tabla de autenticación
• Coloque ProFTPD y PostgreSQL en segmentos de red separados cuando sea posible
• Monitoree los registros FTP en busca de comandos USER que contengan comillas simples, COPY, PROGRAM o palabras clave SQL

Cronología de Divulgación

Referencias

• NVD — CVE-2026-42167
• Blog de Investigación de ZeroPath — CVE-2026-42167 Omisión de Autenticación y RCE en ProFTPD
• ZeroPathAI — Repositorio Oficial de PoC
• dinosn — Análisis Independiente de la Causa Raíz
• ProFTPD Issue #2052 — Inyección SQL mediante mod_sql is_escaped_text
• CVEFeed.io — CVE-2026-42167

Aviso Legal: Este análisis y prueba de concepto se publican estrictamente con fines educativos, de investigación y de seguridad defensiva. El autor no condona el acceso no autorizado a sistemas informáticos. Siempre obtenga permiso escrito explícito antes de realizar pruebas de seguridad contra cualquier sistema que no posea.