GLSA 200405-09: ProFTPD Access Control List bypass vulnerability

http://security.gentoo.org/

Опасность:	высокая
Заголовок:	ProFTPD Access Control List bypass vulnerability
Дата:	19.05.2004
Ошибки:	#49496
ID:	200405-09

Сводка

Version 1.2.9 of ProFTPD introduced a vulnerability that causes CIDR-based Access Control Lists (ACLs) to be treated as "AllowAll", thereby allowing remote users full access to files available to the FTP daemon.

Назначение

ProFTPD is an FTP daemon.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
net-ftp/proftpd	== 1.2.9-r1	>= 1.2.9-r2	All supported architectures

Описание

ProFTPD 1.2.9 introduced a vulnerability that allows CIDR-based ACLs (such as 10.0.0.1/24) to be bypassed. The CIDR ACLs are disregarded, with the net effect being similar to an "AllowAll" directive.

Воздействие

This vulnerability may allow unauthorized files, including critical system files to be downloaded and/or modified, thereby allowing a potential remote compromise of the server.

Обход

Users may work around the problem by avoiding use of CIDR-based ACLs.

Решение

ProFTPD users are encouraged to upgrade to the latest version of the package:

    # emerge sync

    # emerge -pv ">=net-ftp/proftpd-1.2.9-r2"
    # emerge ">=net-ftp/proftpd-1.2.9-r2"

Ссылки

CAN-2004-0432

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-200405-09.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.