Atualização de Segurança para Servidor FTP ProFTPd

O popular servidor FTP ProFTPD potencialmente permite que atacantes não autenticados possam comprometer seriamente um servidor. O problema é causado por um buffer overflow na função pr_netio_telnet_gets () para a avaliação de sequências TELNET IAC. ProFTPD é capaz de processar seqüências TELNET IAC na porta 21, as seqüências para habilitar ou desabilitar algumas opções não suportados pelo protocolo Telnet ou pelo próprio FTP. O estouro de buffer permite que atacantes possam escrever um código arbitrário na pilha do aplicativo e iniciá-lo. Para resolver este problema, basta atualizar para a versão 1.3.3c do ProFTPD.


A atualização também corrige um directory traversal vulnerability (vulnerabilidade de passagem de diretório) que só pode ser explorada se o módulo mod_site_misc estiver carregado. Esta falha pode permitir que atacantes com privilégios de escrita excluam diretórios ou criem links simbólicos. Não há carregamento ou compilação do módulo por padrão. Mais informações sobre a atualização podem ser encontradas nas notas oficiais e no arquivo NEWS. Como os desenvolvedores classificaram o lançamento como uma "atualização de segurança importante", todos os usuários são aconselhados a instalá-la o mais rapidamente possível.


Saiba Mais:

[1] ProFTPD: http://www.proftpd.org/docs/RELEASE_NOTES-1.3.3c
[2] Bugzilla: http://bugs.proftpd.org/show_bug.cgi?id=3521