Resumo Executivo

CVE-2026-42167 é uma vulnerabilidade crítica de injeção de SQL pré-autenticação no módulo de extensão mod_sql do ProFTPD. Uma falha lógica na função is_escaped_text() permite que um atacante não autenticado contorne o escape de caracteres SQL criando um comando USER cujo valor satisfaz uma heurística defeituosa de "já escapado". O SQL injetado é passado diretamente ao banco de dados backend via PQexec(), que suporta consultas empilhadas.

Quando o papel do banco de dados do ProFTPD é um superusuário PostgreSQL — uma configuração incorreta comum em implantações conteinerizadas — a injeção alcança a diretiva COPY TO PROGRAM do PostgreSQL, resultando em Execução Remota de Código em nível de SO não autenticada como o usuário do sistema postgres. Nenhuma credencial, nenhum acesso prévio e nenhuma interação do usuário são necessários.

Software Afetado

O ProFTPD é um servidor FTP de código aberto amplamente implantado. De acordo com o Shodan, existem mais de 160.000 instâncias do ProFTPD publicamente acessíveis na internet. O módulo mod_sql é comumente habilitado em painéis de controle de hospedagem compartilhada, incluindo cPanel, Plesk, DirectAdmin, Webmin e ISPConfig.

Descrição da Vulnerabilidade

O módulo mod_sql do ProFTPD suporta autenticação e registro de atividades baseados em SQL. As strings de formato de log podem incluir variáveis de substituição como %U (nome de usuário), %r (host remoto) e %m (comando FTP). Essas variáveis são expandidas em tempo de execução e inseridas em consultas SQL executadas contra o backend configurado.

Uma configuração vulnerável típica:

Nesta configuração, o valor fornecido no comando FTP USER é substituído por %U e incluído diretamente em uma instrução SQL INSERT. Antes da inserção, o valor é passado por is_escaped_text() para determinar se precisa de escape. Esta função contém uma falha lógica crítica.

Análise da Causa Raiz

A Função Defeituosa is_escaped_text()

Localizada em contrib/mod_sql.c, a função aplica a seguinte heurística para decidir se uma string está "já escapada":

Quando esta função retorna TRUE, sql_resolved_append_text() (linha 777) insere o valor bruto, sem escape, diretamente na string da consulta. O valor é então executado por PQexec() em contrib/mod_sql_postgres.c (linha 1146), que suporta consultas empilhadas (multi-instruções).

Por Que a Heurística Falha

A heurística provavelmente foi projetada para detectar strings que já estavam cercadas por delimitadores de string SQL. No entanto, ela não faz nenhuma tentativa de verificar se o conteúdo interno é seguro — apenas que não há aspas simples adicionais presentes. Isso significa que qualquer payload que:

• Comece com '
• Termine com '
• Use nenhuma aspas simples internamente (por exemplo, use a citação por dólar $$ do PostgreSQL)

...passará na verificação e será injetado literalmente na consulta SQL.

Fluxo de Injeção

Pré-requisitos

A condição de superusuário é frequentemente atendida em implantações conteinerizadas onde o usuário do banco de dados do ProFTPD é criado via POSTGRES_USER=... na imagem Docker oficial do PostgreSQL, ou quando um administrador concede ao papel do ProFTPD a propriedade do banco de dados.

Cadeia de Exploração

Análise do Payload

O payload de injeção é entregue via comando FTP USER:

Verificação da Condição de Bypass

Detalhamento do Payload

Prova de Conceito

Aviso: Este PoC é fornecido apenas para fins educacionais e de testes autorizados. Não use contra sistemas que você não possui ou para os quais não tenha permissão explícita por escrito.

Exemplo de Uso:

Impacto

Qualquer sistema onde o ProFTPD esteja co-localizado com ou tenha acesso de superusuário a uma instância PostgreSQL está em risco de comprometimento total do host. Movimento lateral para sistemas adjacentes e persistência via cron jobs ou injeção de chaves SSH são trivialmente alcançáveis pós-exploração.

Remediação

Ação Imediata

• Atualize o ProFTPD para a versão 1.3.9a ou posterior — a correção corrige is_escaped_text() com tratamento adequado de consultas parametrizadas

Se a Atualização Não For Imediatamente Possível

• Desative completamente o registro baseado em mod_sql (remova as diretivas SQLLog)
• Remova variáveis de registro pré-autenticação (%U, %r, %m) das definições de SQLNamedQuery

Defesa em Profundidade

• Garanta que o papel do banco de dados do ProFTPD não seja um superusuário PostgreSQL (princípio do menor privilégio)
• Restrinja o papel do banco de dados apenas a INSERT na tabela de log e SELECT na tabela de autenticação
• Coloque ProFTPD e PostgreSQL em segmentos de rede separados quando possível
• Monitore logs FTP para comandos USER contendo aspas simples, COPY, PROGRAM ou palavras-chave SQL

Cronograma de Divulgação

Referências

• NVD — CVE-2026-42167
• Blog de Pesquisa ZeroPath — CVE-2026-42167 Bypass de Autenticação e RCE no ProFTPD
• ZeroPathAI — Repositório Oficial de PoC
• dinosn — Análise Independente da Causa Raiz
• ProFTPD Issue #2052 — Injeção de SQL via mod_sql is_escaped_text
• CVEFeed.io — CVE-2026-42167

Aviso Legal: Esta análise e prova de conceito são publicadas estritamente para fins educacionais, de pesquisa e de segurança defensiva. O autor não endossa acesso não autorizado a sistemas de computador. Sempre obtenha permissão explícita por escrito antes de realizar testes de segurança contra qualquer sistema que você não possua.