CompleteFTP 路径遍历缺陷可导致服务器文件遭删除

CompleteFTP 由澳大利亚公司 EnterpriseDT 开发，它是适用于 Windows 系统的专有 FTP 和 SFTP 服务器，支持FTPS、SFTP和HTTPS。

昵称为 “rgod” 的安全研究员从 HttpFile 类中发现一个漏洞，是因为在将用户提供的路径用于文件操作前缺乏正确验证造成的。

安全公告指出，“该漏洞可导致远程攻击者删除 EnterpriseDT CompleteFTP服务器上受影响安装程序上的任意文件。攻击者可利用该漏洞删除系统上下文中的文件。”

该漏洞的编号为CVE-2022-2560，已在 CompleteFTP 版本22.1.1中修复。修复版本中包括其它安全增强功能，这些增强以RSA签名的SHA-2加密哈希函数的形式和 PuTTY 私钥的新格式体现。

目前 EnterpriseDT 尚未置评。