製品・ソフトウェアに関する情報
Vulnerability Search
Vim 用の autoload/netrw.vim における重要な情報を取得される脆弱性
Title Vim 用の autoload/netrw.vim における重要な情報を取得される脆弱性
Summary

Vim 用の autoload/netrw.vim は、他ホスト上のサーバに対して連続で FTP セッション確立が試行されている際、FTP セッションへの資格情報を格納する、および資格情報を送信するため、重要な情報を取得される脆弱性が存在します。

Possible impacts リモート FTP サーバにより、ユーザ名およびパスワードを記録されることで、状況に応じた重要な情報を取得される可能性があります。
Solution

ベンダ情報および参考情報を参照して適切な対策を実施してください。
Publication Date Oct. 22, 2008, midnight
Registration Date Dec. 20, 2012, 6:52 p.m.
Last Update Dec. 20, 2012, 6:52 p.m.
CVSS2.0 : 警告
Score 4.3
Vector AV:N/AC:M/Au:N/C:P/I:N/A:N
Affected System
Vim
netrw 109、131、133k 未満、7.1、および 7.2
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
No Changed Details Date of change
0 [2012年12月20日]
  掲載		 Feb. 17, 2018, 10:37 a.m.
NVD Vulnerability Information
CVE-2008-4677
Summary

autoload/netrw.vim (aka the Netrw Plugin) 109, 131, and other versions before 133k for Vim 7.1.266, other 7.1 versions, and 7.2 stores credentials for an FTP session, and sends those credentials when attempting to establish subsequent FTP sessions to servers on different hosts, which allows remote FTP servers to obtain sensitive information in opportunistic circumstances by logging usernames and passwords. NOTE: the upstream vendor disputes a vector involving different ports on the same host, stating "I'm assuming that they're using the same id and password on that unchanged hostname, deliberately."

Summary

autoload/netrw.vim (también conocido como Netrw Plugin) v109, v131, y versiones anteriores a v133k para Vim v7.1.266, otras versiones v7.1 , y v7.2, guardan las credenciales de las sesiones FTP y envían estos datos al intentar establecer sesiones FTP posteriores a los servidores en diferentes host, lo que permite a los servidores FTP obtener información sensible en circunstancias oportunas mediante la validación con nombres de usuario y contraseñas. NOTA: el fabricante cuestiona un vector involucrando a distintos puertos en un mismo host afirmando que "Asumimos que están usando el mismo id y contraseña sobre el mismo servidor de manera intencionada".

Publication Date Oct. 23, 2008, 3 a.m.
Registration Date Jan. 29, 2021, 1:44 p.m.
Last Update April 23, 2026, 9:35 a.m.
Affected software configurations
Configuration1 or higher or less more than less than
Configuration2 or higher or less more than less than
cpe:2.3:a:vim:netrw:109:*:*:*:*:*:*:*
cpe:2.3:a:vim:netrw:110:*:*:*:*:*:*:*
cpe:2.3:a:vim:netrw:111:*:*:*:*:*:*:*
cpe:2.3:a:vim:netrw:112:*:*:*:*:*:*:*
cpe:2.3:a:vim:netrw:113:*:*:*:*:*:*:*
cpe:2.3:a:vim:netrw:114:*:*:*:*:*:*:*
cpe:2.3:a:vim:netrw:115:*:*:*:*:*:*:*
cpe:2.3:a:vim:netrw:116:*:*:*:*:*:*:*
cpe:2.3:a:vim:netrw:118:*:*:*:*:*:*:*
cpe:2.3:a:vim:netrw:120:*:*:*:*:*:*:*
cpe:2.3:a:vim:netrw:121:*:*:*:*:*:*:*
cpe:2.3:a:vim:netrw:122:*:*:*:*:*:*:*
cpe:2.3:a:vim:netrw:123:*:*:*:*:*:*:*
cpe:2.3:a:vim:netrw:128:*:*:*:*:*:*:*
cpe:2.3:a:vim:netrw:131:*:*:*:*:*:*:*
Related information, measures and tools
Common Vulnerabilities List