Sicherheitslücke in FTP-Client WS_FTP Pro

Auf Bugtraq ist ein Advisory erschienen, das einen Fehler im Windows-FTP-Client WS_FTP Pro beschreibt, mit dem ein Angreifer den Client zum Absturz bringen oder beliebigen Code einschleusen und ausführen kann. Bei der Übermittlung von Verzeichnis-Daten im ASCII-Mode von einem FTP-Server an den Client provoziert ein mehr als 260 Bytes langer Name ohne abschließendes CR/LF einen Buffer Overflow. Um den Fehler auszunutzen, muss ein Angreifer allerdings einen FTP-Server entsprechend manipulieren.

Betroffen ist WS_FTP Pro 8.0.2 und 7.6.2.0 sowie frühere Versionen. Der Hersteller IPSwitch ist über das Problem informiert und hat eine neue Version 8.0.3 zur Verfügung gestellt. In der "Evaluation Version" soll der Fehler allerdings immer noch vorhanden sein.

Siehe dazu auch: (dab)

• Security Advisory auf Bugtraq