Debian: wu-ftpd remote root exploit

Bug

A Debian wu-ftpd csomagja egy bug -ot tartalmaz, a hiba a glob kód -ban van, (ez a kód kezeli a fileneveknél a wildcard -okat, jokerkarakter). A hiba típusa buffer overflow. Bárki, aki bejelentkezik mint user (az anonymous felhasználó is), ki tudja használni ezt a hibát, és root jogokat szerezhet a gépen.

Ez a hiba már javítva van a 2.6.0-6 -os verziójú csomagban.A javítás természetesen működik az apt -al (nyilván jól megszerkesztett sources.list esetén):


apt-get update


apt-get upgrade

Vagy a csomag letölthető kézzel is. Bővebb információ itt.

( trey | 2001. 12. 03., h – 12:39 )

A ProFTPD se tokeletes, valoban voltak/vannak benne hibak. De remote root exploit -ra nem emlekszem. Viszont a wu-ftpd az rendszeresen meglepi a felhasznaloit ilyennel. Tippet nem akarok adni senkinek, hogy mit hasznaljon de egy osszefoglalot irtam anno az FTP szerverekrol. Abban van szo ket 'biztonsagos' FTP szerverrol: a ftpd-BSD -rol és az oftpd -rol. Mindegyiket a biztonsagra hegyeztek ki, az egyik az OpenBSD -bol lett linux ala portolva, az meg mint tudjuk: 4 ev tavoli kihasznalhato hiba nelkul, default telepitessel....

Ezek utan valasszon mindenki maga, en wu-ftpd -t semmikeppen nem telepitenek. Aki ennek ellenere maskent gondolja, az irja meg, de indokolja is =).

( trey | 2001. 12. 04., k – 12:56 )

Egyet azert elfelejtettel megemliteni:
Ez a glob bug nem a wuftpd bugja, hanem a glibc-e.

Valoban elfelejtettem megemliteni. En annyit tettem, hogy a Debian altal postazott figyelmeztetes tettem ki. Nem hinnem, hogy az en feladatom lenne az, hogy belemelyedve glibc szintig 'strace' -val meg 'gdb' -vel nekialljak debug -olni a wu-ftpd -t. Se idom, se kedvem nincs hozza =). En egyszeru felhasznalo annyit latok a dologbol, hogy megint a wu-ftpd a hibas (nem eloszor) es elgondolkodok, hogy erdemes-e tovabb hasznalni. Az mar mellekes IMHO, hogy a glibc kodja sz*r, vagy a wu-ftpd kodja nem jo. A wu-ftpd hasznalja tehat, a wu-ftpd is rossz. Talan jobban kene ellenorizni, hogy mit is hasznalnak fel...

Udv: trey