FICHE CVE

CVE-2026-67607

Publiée le 2026-07-31 · Dernière modification le 2026-10-23

🇫🇷 EN BREF

Les serveurs LightFTP 2.3.1 sont susceptibles de subir un plantage entraînant un déni de service. Un attaquant distant peut provoquer cela en envoyant une séquence spécifique de commandes FTP, telle que LIST suivie immédiatement de ABOR, afin de causer une erreur de synchronisation de la mémoire. Bien qu'aucune authentification ni interaction de l'utilisateur ne soit requise, l'attaque est difficile à exécuter car elle repose sur une fenêtre temporelle précise (une condition de concurrence).

CVSS 4.08.2 ÉLEVÉE

Type de faiblesse

Situation de concurrence TOCTOU · CWE-367

Publiée2026-07-31

Dernière modification2026-10-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

LightFTP 2.3.1 contains a residual race condition vulnerability (an incomplete fix for CVE-2024-11144) in the worker_thread_cleanup() function of ftpserv.c that allows remote unauthenticated attackers to destabilize or crash the daemon by triggering unsynchronized access to shared per-connection state without holding the required mutex lock. Attackers can send a data-transfer command such as LIST followed immediately by ABOR to exploit the missing synchronization on shared context and detached thread id reuse, resulting in daemon destabilization or crash which can lead to a denial of service. The 2.3.1 patch only narrowed the timing window (an extra re-check and reordered cleanup), it never added the missing lock, so the underlying race remains.