一、 漏洞 CVE-2025-24366 基础信息
漏洞信息
                                        # SFTPGo中对用户提供的rsync命令净化不足

## 概述
SFTPGo 是一个开源的事件驱动的文件传输解决方案。它支持通过 SSH 执行一组预定义的命令。其中，`rsync` 是一个可选命令，尽管默认情况下是禁用的，并且仅限于本地文件系统。

## 影响版本
- 漏洞影响在 v2.6.5 之前的版本。

## 细节
SFTPGo 在处理客户端提供的 `rsync` 命令时未进行适当的身份验证和过滤。这允许经过身份验证的远程用户通过特定的 `rsync` 选项读取或写入 SFTPGo 服务器进程权限下的文件。

## 影响
此漏洞允许攻击者以 SFTPGo 服务器进程的权限读取或写入文件，从而可能导致敏感信息泄漏或系统文件被篡改。该漏洞已在 v2.6.5 版本中修复，建议用户升级。目前没有已知的缓解措施。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Insufficient sanitization of user provided rsync command in SFTPGo
来源：美国国家漏洞数据库 NVD
漏洞描述信息
SFTPGo is an open source, event-driven file transfer solution. SFTPGo supports execution of a defined set of commands via SSH. Besides a set of default commands some optional commands can be activated, one of them being `rsync`. It is disabled in the default configuration and it is limited to the local filesystem, it does not work with cloud/remote storage backends. Due to missing sanitization of the client provided `rsync` command, an authenticated remote user can use some options of the rsync command to read or write files with the permissions of the SFTPGo server process. This issue was fixed in version v2.6.5 by checking the client provided arguments. Users are advised to upgrade. There are no known workarounds for this vulnerability.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
来源：美国国家漏洞数据库 NVD
漏洞类别
OS命令中使用的特殊元素转义处理不恰当(OS命令注入)
来源：美国国家漏洞数据库 NVD
漏洞标题
SFTPGo 操作系统命令注入漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
SFTPGo是意大利Nicola Murino个人开发者的一个功能齐全且高度可配置的 SFTP 服务器。 SFTPGo存在操作系统命令注入漏洞，该漏洞源于缺少对rsync命令的清理，允许远程用户读取或写入文件。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
授权问题
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-24366 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2025-24366 的情报信息
四、漏洞 CVE-2025-24366 的评论

暂无评论

发表评论