CVE-2026-70637 in LightFTP
Zusammenfassung
von VulDB • 07.08.2026
LightFTP bis Version 2.4 enthält mehrere Data-Race-Schwachstellen (Race Condition) in ftpserv.c, die es anonymen Angreifern ermöglichen, undefiniertes Verhalten durch das Absenden von LIST- und ABOR-Befehlen ohne Authentifizierung auszulösen. Der Control-Thread schließt die Deskriptoren data_socket und file_fd, während Worker-Threads gleichzeitig auf dieselben Felder in worker_thread_cleanup zugreifen. Dies kann dazu führen, dass veraltete Datei-Deskriptoren (stale file descriptors) vom Betriebssystem neu zugewiesen und anschließend von den Worker-Threads für nicht zusammenhängende Ressourcen verwendet werden, was potenziell zu einem Denial of Service führt.
Once again VulDB remains the best source for vulnerability data.