CVE catalog

CVE-2017-7418

proftpd-dfsg: CVE-2017-7418

[CVE catalog]

Severity
Medium · CVSS 5.5CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
Published
Source
[NVD] · [CVE record]
EPSS
0.44% · Oct 25, 2026

ProFTPD before 1.3.5e and 1.3.6 before 1.3.6rc5 controls whether the home directory of a user could contain a symbolic link through the AllowChrootSymlinks configuration option, but checks only the last path component when enforcing AllowChrootSymlinks. Attackers with local access could bypass the AllowChrootSymlinks control by replacing a path component (other than the last one) with a symbolic link. The threat model includes an attacker who is not granted full filesystem access by a hosting provider, but can reconfigure the home directory of an FTP user.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianproftpd-dfsgsid1.3.9e~dfsg-1fixed
Debianproftpd-dfsgforky1.3.9d~dfsg-1fixed
Debianproftpd-dfsgtrixie1.3.8.c+dfsg-4+deb13u3fixed
Debianproftpd-dfsgbookworm1.3.8+dfsg-4+deb12u5fixed
Debianproftpd-dfsgbookworm-security1.3.8+dfsg-4+deb12u4fixed
Ubuntuproftpd-dfsg16.041.3.5-2vulnerable
Ubuntuproftpd-dfsg16.041.3.5a-1vulnerable
Ubuntuproftpd-dfsg16.041.3.5a-1build1vulnerable
Ubuntuproftpd-dfsg16.041.3.5a-1ubuntu0.1vulnerable
Suseproftpdpackage hub 151.3.5e-bp150.3.3.1fixed
Opensuseproftpdleap 15.01.3.5e-bp150.3.3.1fixed
Opensuseproftpdleap 15.11.3.5e-bp150.3.3.1fixed
Suseproftpdpackage hub 15 sp11.3.5e-bp151.4.3.1fixed
Suseproftpdpackage hub 151.3.6b-bp151.4.6.2fixed
Suseproftpdpackage hub 15 sp11.3.6b-bp151.4.6.2fixed
Opensuseproftpdleap 15.11.3.6b-bp151.4.6.2fixed

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianproftpd-dfsgsourcesid1.3.5b-4lowNot reported[859592]
Debianproftpd-dfsgsourceforky1.3.5b-4lowNot reported[859592]
Debianproftpd-dfsgsourcetrixie1.3.5b-4lowNot reported[859592]
Debianproftpd-dfsgsourcebookworm1.3.5b-4lowNot reported[859592]
Suseproftpdrpmpackage hub 151.3.5e-bp150.3.3.1Not reportedOPENSUSE-SU-2019:1836-1Not reported
Opensuseproftpdrpmleap 15.01.3.5e-bp150.3.3.1Not reportedOPENSUSE-SU-2019:1836-1Not reported
Opensuseproftpdrpmleap 15.11.3.5e-bp150.3.3.1Not reportedOPENSUSE-SU-2019:1836-1Not reported
Suseproftpdrpmpackage hub 15 sp11.3.5e-bp151.4.3.1Not reportedOPENSUSE-SU-2019:1870-1Not reported
Suseproftpdrpmpackage hub 151.3.6b-bp151.4.6.2Not reportedOPENSUSE-SU-2020:0031-1Not reported
Suseproftpdrpmpackage hub 15 sp11.3.6b-bp151.4.6.2Not reportedOPENSUSE-SU-2020:0031-1Not reported
Opensuseproftpdrpmleap 15.11.3.6b-bp151.4.6.2Not reportedOPENSUSE-SU-2020:0031-1Not reported

[Debian bug #859592]

OpenFactory catalog packages

[Debian 12 (Bookworm)]

  • [proftpd-basic]Fixed

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · all · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · all · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · all · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · all · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

  • [proftpd-core]Fixed

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · amd64 · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · arm64 · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · amd64 · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · arm64 · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

  • [proftpd-dev]Fixed

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · amd64 · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · arm64 · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · amd64 · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · arm64 · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

  • [proftpd-doc]Fixed

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · all · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · all · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · all · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · all · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

  • [proftpd-mod-crypto]Fixed

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · amd64 · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · arm64 · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · amd64 · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · arm64 · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

  • [proftpd-mod-geoip]Fixed

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · amd64 · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · arm64 · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · amd64 · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · arm64 · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

  • [proftpd-mod-ldap]Fixed

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · amd64 · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · arm64 · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · amd64 · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · arm64 · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

  • [proftpd-mod-mysql]Fixed

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · amd64 · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · arm64 · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · amd64 · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · arm64 · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

  • [proftpd-mod-odbc]Fixed

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · amd64 · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · arm64 · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · amd64 · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · arm64 · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

  • [proftpd-mod-pgsql]Fixed

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · amd64 · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · arm64 · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · amd64 · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · arm64 · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

  • [proftpd-mod-snmp]Fixed

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · amd64 · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · arm64 · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · amd64 · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · arm64 · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

  • [proftpd-mod-sqlite]Fixed

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · amd64 · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · arm64 · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · amd64 · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · arm64 · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

  • [proftpd-mod-wrap]Fixed

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · amd64 · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · arm64 · bookworm

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · amd64 · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · arm64 · bookworm-security

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · bookworm; dsa · proftpd-dfsg · debian · 12

[Debian 13 (Trixie)]

  • [proftpd-core]Fixed

    Source package: [proftpd-dfsg]

    Details (2)

    • 1.3.8.c+dfsg-4+deb13u2 · amd64 · trixie

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · 13

    • 1.3.8.c+dfsg-4+deb13u2 · arm64 · trixie

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · 13

  • [proftpd-dev]Fixed

    Source package: [proftpd-dfsg]

    Details (2)

    • 1.3.8.c+dfsg-4+deb13u2 · amd64 · trixie

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · 13

    • 1.3.8.c+dfsg-4+deb13u2 · arm64 · trixie

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · 13

  • [proftpd-doc]Fixed

    Source package: [proftpd-dfsg]

    Details (2)

    • 1.3.8.c+dfsg-4+deb13u2 · all · trixie

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · 13

    • 1.3.8.c+dfsg-4+deb13u2 · all · trixie

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · 13

  • [proftpd-mod-crypto]Fixed

    Source package: [proftpd-dfsg]

    Details (2)

    • 1.3.8.c+dfsg-4+deb13u2 · amd64 · trixie

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · 13

    • 1.3.8.c+dfsg-4+deb13u2 · arm64 · trixie

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · 13

  • [proftpd-mod-geoip]Fixed

    Source package: [proftpd-dfsg]

    Details (2)

    • 1.3.8.c+dfsg-4+deb13u2 · amd64 · trixie

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · 13

    • 1.3.8.c+dfsg-4+deb13u2 · arm64 · trixie

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · 13

  • [proftpd-mod-ldap]Fixed

    Source package: [proftpd-dfsg]

    Details (2)

    • 1.3.8.c+dfsg-4+deb13u2 · amd64 · trixie

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · 13

    • 1.3.8.c+dfsg-4+deb13u2 · arm64 · trixie

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · 13

  • [proftpd-mod-mysql]Fixed

    Source package: [proftpd-dfsg]

    Details (2)

    • 1.3.8.c+dfsg-4+deb13u2 · amd64 · trixie

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · 13

    • 1.3.8.c+dfsg-4+deb13u2 · arm64 · trixie

      Fixed · Fixed: 1.3.5b-4

      dsa · proftpd-dfsg · debian · 13

Next results

Observed:

References

[Debian Security Tracker] · [FIRST EPSS] · [OSV Package Vulnerability Database] · [SUSE security advisories and VEX]