Kurzfassung

Xlight FTP Server ist von einer kritischen Schwachstelle betroffen, die vor der Anmeldung ausnutzbar ist. Angreifer können über eine manipulierte SSH-Client-Kennung einen Heap-Buffer-Overflow auslösen. Betroffen sind Versionen vor 3.9.5.

Für Betreiber im DACH-Raum ist das vor allem dann heikel, wenn der Dienst direkt aus dem Netz erreichbar ist. Wer SSH oder SFTP auf diesem Server anbietet, sollte den Patch priorisieren.

Was ist passiert?

Die Lücke trägt die Kennung CVE-2026-67191 und ist als kritisch eingestuft. Nach Angaben der Quelle liegt der Fehler in der Behandlung der Verbindungsdaten vor der Authentifizierung. Ein Angreifer muss sich also nicht erst anmelden.

Der Auslöser ist eine fehlerhaft verarbeitete Client-Identifikation, die der Server beim Verbindungsaufbau entgegennimmt. Dadurch kann Speicher jenseits eines Heap-Puffers beschrieben werden. Das ist klassischer Stoff für Abstürze, in ungünstigen Fällen auch für Codeausführung.

Technische Details

Die Schwachstelle steckt in Xlight FTP Server vor Version 3.9.5. Laut Quelle greift der Fehler in der Empfangsschleife, genauer in einer falschen Abbruchbedingung. Dort wurde offenbar ein OR-Operator verwendet, wo ein AND nötig gewesen wäre. Diese Logik öffnet die Tür für die fehlerhafte Verarbeitung.

Ausnutzbar ist das über SSH- oder SFTP-Verbindungen, noch bevor eine Anmeldung stattfindet. Der Angreifer sendet eine manipulierte SSH-Client-Identifikation. Ob ein erfolgreicher Angriff nur zu einem Denial-of-Service führt oder weitergehende Folgen hat, nennt die Quelle nicht ausdrücklich.

Wer ist betroffen?

Betroffen sind Systeme mit Xlight FTP Server vor 3.9.5. Das betrifft in erster Linie Server-Betreiber, die den Dienst für Dateiübertragungen oder automatisierte Schnittstellen einsetzen. Für Privatnutzer spielt das nur eine Rolle, wenn sie die Software überhaupt produktiv einsetzen; dafür gibt es in der Praxis aber wenig Anzeichen.

Wer den Server aus dem Internet erreichbar macht, hat das höchste Risiko. Interne Instanzen sind ebenfalls nicht automatisch sicher, etwa wenn ein Angreifer bereits im Netz steht. Ob auch bestimmte Konfigurationen weniger angreifbar sind, lässt der Hersteller beziehungsweise die Quelle offen.

Empfohlene Maßnahmen

Die erste Maßnahme ist banal, aber hier entscheidend: auf Version 3.9.5 oder höher aktualisieren. Wer das nicht sofort kann, sollte den Dienst vorübergehend abschotten. Das heißt: Zugriff auf SSH/SFTP auf notwendige Quellnetze begrenzen, Firewall-Regeln prüfen und Exponierung im Internet vermeiden.

Admins sollten zusätzlich die Logs auf ungewöhnliche Verbindungsversuche kontrollieren, vor allem auf auffällige SSH-Identifikationen oder wiederholte Fehlversuche kurz nach dem Verbindungsaufbau. Wenn Xlight auf produktiven Systemen läuft, gehört die Prüfung in den heutigen Patch-Plan. Ein Warten auf den nächsten regulären Wartungstermin ist hier die falsche Reihenfolge.

Einschätzung von CyberSecurity-News.de

Die Lage ist ernst, weil die Schwachstelle vor der Anmeldung greift und damit keine Zugangsdaten benötigt. Genau solche Fehler landen schnell in automatisierten Scannern. Für exponierte Systeme ist das ein echtes Risiko, auch wenn die öffentliche Informationslage noch knapp ist.

Weniger überzeugend ist, wenn Hersteller oder Datenbanken bei solchen Funden nur das Nötigste liefern. Dann müssen Betreiber mit einer dünnen Faktenlage entscheiden, ob schon Exploit-Code im Umlauf ist oder ob es „nur“ ein Absturzrisiko gibt. Das ändert nichts an der Priorität: patchen, absichern, beobachten.

Fazit

Xlight FTP Server vor 3.9.5 hat eine kritische Vor-Auth-Schwachstelle, die sofortige Aufmerksamkeit verdient. Wer die Software nutzt, sollte jetzt prüfen, ob die betroffenen Versionen im Einsatz sind, und ohne Umwege auf 3.9.5 oder höher gehen.

Wenn ein Update gerade nicht möglich ist, muss der Zugriff stark eingeschränkt werden. Alles andere ist ein offenes Risiko auf einem Dienst, der ohnehin oft direkt erreichbar ist.

Quellenangabe

Weiterführende Quelle: NVD – CVE-2026-67191