Sicherheitsupdate fĂĽr ProFTP
Im FTP-Server ProFTPD steckt ein Fehler, durch den am System angemeldete Anwender ihre Zugriffsrechte erhöhen können.
Im FTP-Server ProFTPD steckt ein Fehler, durch den am System angemeldete Anwender ihre Zugriffsrechte erhöhen können. Die Lücke findet sich im Modul mod_ctrls (src/ctrls.c) in der Funktion pr_ctrls_recv_request und beruht auf einem Buffer Overflow, der sich durch das Senden bestimmter Nachrichten provozieren lässt. Das Control-Modul dient zum Verwalten des FTP-Servers zur Laufzeit und ist standardmäßig in der Konfiguration deaktiviert.
<IfModule mod_ctrls.c>
ControlsEngine off
</IfModule<>
Zudem ist es fĂĽr einen erfolgreichen Angriff notwendig, Zugriff auf die Kontrollfunktionen von ProFTP zu haben, was ĂĽber die ACLs des Moduls geregelt wird. Betroffen sind laut Fehlerbericht ProFTPD 1.3.0a und ProFTPD 1.3.0. In Versione 1.3.1rc1 ist der Fehler behoben.
Siehe dazu auch:
- ProFTPD Controls Buffer Overflow, Fehlerbericht von Core
(dab)
