Share
## https://sploitus.com/exploit?id=CB4E4765-38DF-5BC4-AD88-3DC5E99F329F
# CVE-2026-42167: SQL Injection en ProFTPD mod_sql
## 📋 Resumen Ejecutivo
**CVE-2026-42167** es una vulnerabilidad crítica de inyección SQL en el módulo `mod_sql` de ProFTPD que permite **elusión de autenticación**, **inyección de usuarios backdoor** y **ejecución remota de código (RCE)**.
| Atributo | Valor |
|----------|-------|
| **Tipo** | Inyección SQL (CWE-89) |
| **Gravedad** | Alta/Crítica |
| **CVSS v3** | 8.1 |
| **Componente** | mod_sql en ProFTPD > /etc/proftpd/proftpd.conf
# Reiniciar ProFTPD
sudo systemctl restart proftpd
# Monitorear logs
tail -f /var/log/proftpd/trace.log | grep "already escaped"
```
---
## 📦 Información de Versiones
| Versión | Estado |
|---------|--------|
| < 1.3.9 | ❌ Vulnerable |
| 1.3.9 | ❌ Vulnerable |
| ≥ 1.3.9a | ✅ Parcheado |
| ≥ 1.3.10rc1 | ✅ Parcheado |
---
## 🧪 Prueba de Concepto (PoC)
### Repositorio Oficial
**GitHub:** [ZeroPathAI/proftpd-CVE-2026-42167-poc](https://github.com/ZeroPathAI/proftpd-CVE-2026-42167-poc)
### Configuración Rápida con Docker
```bash
# Clonar repositorio
git clone https://github.com/ZeroPathAI/proftpd-CVE-2026-42167-poc.git
cd proftpd-CVE-2026-42167-poc
# Requisitos
# - Docker
# - Git
# - Python 3.10+
# - uv (gestor de paquetes Python)
# Configurar entorno vulnerable
cd setup
./setup.sh
# Ejecutar PoCs
cd ../pocs
python3 preauth_user_backdoor.py # Inyectar usuario backdoor (pre-auth)
python3 preauth_user_rce.py # RCE vía COPY TO PROGRAM (pre-auth)
python3 postauth_stor_backdoor.py # Inyectar usuario (post-auth)
python3 postauth_stor_rce.py # RCE (post-auth)
# Limpiar
cd ../setup
./teardown.sh
```
---
## 📅 Cronología
| Fecha | Evento |
|-------|--------|
| 2026-03-28 | Vulnerabilidad reportada a ProFTPD |
| 2026-04-07 | Verificación y desarrollo de parche |
| 2026-04-24 | CVE-2026-42167 asignado |
| 2026-04-27 | Parche liberado (commit af90843baf7dcb8c6be1e5261be2d0b5b5850673) |
| 2026-04-27 | ProFTPD 1.3.9a lanzado |
---
## 📚 Referencias
- **NVD:** https://nvd.nist.gov/vuln/detail/CVE-2026-42167
- **Blog Técnico:** https://zeropath.com/blog/proftpd-cve-2026-42167-auth-bypass-privesc-rce
- **Repositorio PoC:** https://github.com/ZeroPathAI/proftpd-CVE-2026-42167-poc
- **Notas de Lanzamiento:** http://www.proftpd.org/docs/RELEASE_NOTES-1.3.10rc1
- **Discusión:** https://github.com/proftpd/proftpd/issues/2052
---
## ⚡ Recomendaciones Finales
1. **Acción Inmediata:** Actualizar ProFTPD a 1.3.9a o superior
2. **Auditoría:** Revisar configuraciones de `SQLLog` en todos los servidores ProFTPD
3. **Privilegios:** Asegurar que usuarios de base de datos no tengan permisos de superusuario
4. **Monitoreo:** Implementar alertas para intentos de inyección SQL
5. **Parches:** Mantener un programa de parcheo regular para todas las dependencias
---
**Última actualización:** 28 de abril de 2026
**Fuente:** ZeroPath Research, MITRE CVE, NVD