Schwachstelle in WS_FTP-Server

Der FTP-Server WS_FTP reagiert nach der Eingabe manipulierter Kommandos mit einem Stillstand. Das Kommando 'CWD' mit mehreren Punkten als Argument, gefolgt vom Versuch, mit 'MKD' ein Verzeichnis zu erstellen, führt zur hundertprozentigen Auslastung des Systems. In der Folge antwortet der FTP-Server nicht mehr. Nach Angaben der Sicherheitsdatenbank SecurityTracker muss man allerdings auf dem FTP-Server angemeldet sein - ein anonymer Login reicht dazu aus.

Die Schwachstelle wurde für Version 4.02 bestätigt, andere Versionen können ebenfalls betroffen sein. Eine neue Version von WS_FTP ist noch nicht verfügbar, als Workaround sollten Administratoren nur vertrauenswürdigen Benutzern den Zugang zum FTP-Server gewähren. Alternativ kann man mit einen FTP-Proxy verdächtige Zeichenketten in Befehlen ausfiltern

Siehe dazu auch: (dab)

• Original-Advisory von Dr. Insane