Résumé exécutif

CVE-2026-42167 est une vulnérabilité critique d'injection SQL avant authentification dans le module d'extension mod_sql de ProFTPD. Un défaut logique dans la fonction is_escaped_text() permet à un attaquant non authentifié de contourner l'échappement des caractères SQL en forgeant une commande USER dont la valeur satisfait une heuristique défectueuse de « déjà échappé ». Le SQL injecté est transmis directement à la base de données backend via PQexec(), qui prend en charge les requêtes empilées.

Lorsque le rôle de base de données ProFTPD est un superutilisateur PostgreSQL — une erreur de configuration courante dans les déploiements conteneurisés — l'injection atteint la directive COPY TO PROGRAM de PostgreSQL, ce qui entraîne une exécution de code à distance au niveau du système d'exploitation avant authentification en tant qu'utilisateur système postgres. Aucun identifiant, aucun accès préalable et aucune interaction utilisateur ne sont requis.

Logiciels concernés

ProFTPD est un serveur FTP open source largement déployé. Selon Shodan, plus de 160 000 instances ProFTPD accessibles publiquement existent sur Internet. Le module mod_sql est couramment activé dans les panneaux de contrôle d'hébergement mutualisé, notamment cPanel, Plesk, DirectAdmin, Webmin et ISPConfig.

Description de la vulnérabilité

Le module mod_sql de ProFTPD prend en charge l'authentification et la journalisation d'activité basées sur SQL. Les chaînes de format de journal peuvent inclure des variables de substitution telles que %U (nom d'utilisateur), %r (hôte distant) et %m (commande FTP). Ces variables sont développées à l'exécution et insérées dans les requêtes SQL exécutées contre le backend configuré.

Une configuration vulnérable typique :

Dans cette configuration, la valeur fournie dans la commande FTP USER est substituée à %U et incluse directement dans une instruction SQL INSERT. Avant l'insertion, la valeur est transmise à is_escaped_text() pour déterminer si elle nécessite un échappement. Cette fonction contient un défaut logique critique.

Analyse de la cause racine

La fonction défectueuse is_escaped_text()

Située dans contrib/mod_sql.c, la fonction applique l'heuristique suivante pour décider si une chaîne est « déjà échappée » :

Lorsque cette fonction renvoie TRUE, sql_resolved_append_text() (ligne 777) insère la valeur brute, non échappée, directement dans la chaîne de requête. La valeur est ensuite exécutée par PQexec() dans contrib/mod_sql_postgres.c (ligne 1146), qui prend en charge les requêtes empilées (multi-instructions).

Pourquoi l'heuristique échoue

L'heuristique était probablement destinée à détecter les chaînes déjà entourées de délimiteurs de chaîne SQL. Cependant, elle ne tente pas de vérifier que le contenu interne est sûr — uniquement qu'aucune apostrophe supplémentaire n'est présente. Cela signifie que toute charge utile qui :

• Commence par '
• Se termine par '
• N'utilise aucune apostrophe interne (par exemple, utilise le dollar-quoting $$ de PostgreSQL)

...passera le contrôle et sera injectée telle quelle dans la requête SQL.

Flux d'injection

Conditions préalables

La condition de superutilisateur est fréquemment remplie dans les déploiements conteneurisés où l'utilisateur de base de données ProFTPD est créé via POSTGRES_USER=... dans l'image Docker officielle de PostgreSQL, ou lorsqu'un administrateur accorde au rôle ProFTPD la propriété de la base de données.

Chaîne d'exploitation

Analyse de la charge utile

La charge utile d'injection est livrée via la commande FTP USER :

Vérification de la condition de contournement

Décomposition de la charge utile

Preuve de concept

Avertissement : Ce PoC est fourni à des fins éducatives et de test autorisé uniquement. Ne l'utilisez pas contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation écrite explicite.

Exemple d'utilisation :

Impact

Tout système où ProFTPD est co-localisé avec une instance PostgreSQL ou y dispose d'un accès superutilisateur est exposé à une compromission complète de l'hôte. Le mouvement latéral vers des systèmes adjacents et la persistance via des tâches cron ou l'injection de clés SSH sont trivialement réalisables après exploitation.

Remédiation

Action immédiate

• Mettre à niveau ProFTPD vers la version 1.3.9a ou ultérieure — le correctif corrige is_escaped_text() avec une gestion appropriée des requêtes paramétrées

Si la mise à niveau n'est pas immédiatement possible

• Désactiver entièrement la journalisation basée sur mod_sql (supprimer les directives SQLLog)
• Supprimer les variables de journalisation avant authentification (%U, %r, %m) des définitions SQLNamedQuery

Défense en profondeur

• S'assurer que le rôle de base de données ProFTPD n'est pas un superutilisateur PostgreSQL (principe du moindre privilège)
• Restreindre le rôle de base de données uniquement à INSERT sur la table de journal et SELECT sur la table d'authentification
• Placer ProFTPD et PostgreSQL dans des segments réseau séparés lorsque c'est possible
• Surveiller les journaux FTP pour les commandes USER contenant des apostrophes, COPY, PROGRAM ou des mots-clés SQL

Chronologie de divulgation

Références

• NVD — CVE-2026-42167
• Blog de recherche ZeroPath — CVE-2026-42167 Contournement d'authentification et RCE dans ProFTPD
• ZeroPathAI — Dépôt PoC officiel
• dinosn — Analyse indépendante de la cause racine
• Problème ProFTPD #2052 — Injection SQL via mod_sql is_escaped_text
• CVEFeed.io — CVE-2026-42167

Avertissement légal : Cette analyse et cette preuve de concept sont publiées strictement à des fins éducatives, de recherche et de sécurité défensive. L'auteur ne cautionne pas l'accès non autorisé aux systèmes informatiques. Obtenez toujours une autorisation écrite explicite avant d'effectuer des tests de sécurité contre tout système que vous ne possédez pas.