Sommario esecutivo

CVE-2026-42167 è una vulnerabilità critica di SQL injection pre-autenticazione nel modulo di estensione mod_sql di ProFTPD. Un difetto logico nella funzione is_escaped_text() consente a un attaccante non autenticato di bypassare l'escape dei caratteri SQL creando un comando USER il cui valore soddisfa un'euristica difettosa di "già sottoposto a escape". L'SQL iniettato viene passato direttamente al database backend tramite PQexec(), che supporta query impilate.

Quando il ruolo del database ProFTPD è un superutente PostgreSQL — una configurazione errata comune nelle distribuzioni containerizzate — l'iniezione raggiunge la direttiva COPY TO PROGRAM di PostgreSQL, risultando in esecuzione di codice a livello di sistema operativo non autenticata come utente di sistema postgres. Non sono richieste credenziali, accesso precedente o interazione con l'utente.

Software interessato

ProFTPD è un server FTP open source ampiamente distribuito. Secondo Shodan, su internet esistono oltre 160.000 istanze ProFTPD pubblicamente accessibili. Il modulo mod_sql è comunemente abilitato nei pannelli di controllo di hosting condiviso, tra cui cPanel, Plesk, DirectAdmin, Webmin e ISPConfig.

Descrizione della vulnerabilità

Il modulo mod_sql di ProFTPD supporta l'autenticazione basata su SQL e la registrazione delle attività. Le stringhe di formato dei log possono includere variabili di sostituzione come %U (nome utente), %r (host remoto) e %m (comando FTP). Queste variabili vengono espanse in fase di esecuzione e inserite nelle query SQL eseguite contro il backend configurato.

Una configurazione vulnerabile tipica:

In questa configurazione, il valore fornito nel comando FTP USER viene sostituito per %U e incluso direttamente in un'istruzione SQL INSERT. Prima dell'inserimento, il valore viene passato attraverso is_escaped_text() per determinare se necessita di escape. Questa funzione contiene un difetto logico critico.

Analisi della causa principale

La funzione difettosa is_escaped_text()

Situata in contrib/mod_sql.c, la funzione applica la seguente euristica per decidere se una stringa è "già sottoposta a escape":

Quando questa funzione restituisce TRUE, sql_resolved_append_text() (riga 777) inserisce il valore grezzo, senza escape, direttamente nella stringa della query. Il valore viene quindi eseguito da PQexec() in contrib/mod_sql_postgres.c (riga 1146), che supporta query impilate (multi-istruzione).

Perché l'euristica fallisce

L'euristica era probabilmente intesa a rilevare stringhe già racchiuse da delimitatori di stringa SQL. Tuttavia, non tenta di verificare che il contenuto interno sia sicuro — controlla solo che non siano presenti virgolette singole aggiuntive. Ciò significa che qualsiasi payload che:

• Inizia con '
• Termina con '
• Non utilizza virgolette singole internamente (ad esempio, utilizza la quotazione con dollaro $$ di PostgreSQL)

...supererà il controllo e verrà iniettato letteralmente nella query SQL.

Flusso dell'iniezione

Prerequisiti

La condizione di superutente è spesso soddisfatta nelle distribuzioni containerizzate in cui l'utente del database ProFTPD viene creato tramite POSTGRES_USER=... nell'immagine Docker ufficiale di PostgreSQL, o quando un amministratore concede al ruolo ProFTPD la proprietà del database.

Catena di sfruttamento

Analisi del payload

Il payload dell'iniezione viene consegnato tramite il comando FTP USER:

Verifica della condizione di bypass

Suddivisione del payload

Prova di concetto

Avvertenza: Questo PoC è fornito esclusivamente a scopo educativo e per test autorizzati. Non utilizzarlo contro sistemi di cui non si è proprietari o per i quali non si dispone di esplicita autorizzazione scritta.

Esempio di utilizzo:

Impatto

Qualsiasi sistema in cui ProFTPD è co-localizzato con un'istanza PostgreSQL o dispone di accesso superutente a essa è a rischio di compromissione completa dell'host. Il movimento laterale verso sistemi adiacenti e la persistenza tramite cron job o iniezione di chiavi SSH sono facilmente realizzabili dopo lo sfruttamento.

Rimedi

Azione immediata

• Aggiornare ProFTPD alla versione 1.3.9a o successiva — la correzione modifica is_escaped_text() con una gestione adeguata delle query parametrizzate

Se l'aggiornamento non è immediatamente possibile

• Disabilitare completamente la registrazione basata su mod_sql (rimuovere le direttive SQLLog)
• Rimuovere le variabili di registrazione pre-autenticazione (%U, %r, %m) dalle definizioni SQLNamedQuery

Difesa in profondità

• Assicurarsi che il ruolo del database ProFTPD non sia un superutente PostgreSQL (principio del privilegio minimo)
• Limitare il ruolo del database al solo INSERT sulla tabella dei log e SELECT sulla tabella di autenticazione
• Posizionare ProFTPD e PostgreSQL in segmenti di rete separati quando possibile
• Monitorare i log FTP per comandi USER contenenti virgolette singole, COPY, PROGRAM o parole chiave SQL

Cronologia della divulgazione

Riferimenti

• NVD — CVE-2026-42167
• ZeroPath Research Blog — CVE-2026-42167 Auth Bypass and RCE in ProFTPD
• ZeroPathAI — Official PoC Repository
• dinosn — Independent Root Cause Analysis
• ProFTPD Issue #2052 — SQL injection via mod_sql is_escaped_text
• CVEFeed.io — CVE-2026-42167

Disclaimer legale: Questa analisi e prova di concetto sono pubblicate strettamente a scopo educativo, di ricerca e di sicurezza difensiva. L'autore non approva l'accesso non autorizzato a sistemi informatici. Ottenere sempre esplicita autorizzazione scritta prima di condurre test di sicurezza su qualsiasi sistema di cui non si è proprietari.