Debian セキュリティ勧告

DSA-032-1 proftpd -- proftpd が root で実行される, /var シンボリックリンクを削除する

報告日時:
2001-03-07
影響を受けるパッケージ:
proftpd
危険性:
あり
参考セキュリティデータベース:
Mitre の CVE 辞書: CVE-2001-0456.
詳細:
下記の問題が、現行の Debian 2.2 (potato) の proftpd で報告されています。
  1. postinst スクリプト中に設定の誤りがあり、ユーザが匿名アクセスを 許可するという設定に `yes' と答えた場合、postinst スクリプトは /etc/proftpd.conf 中の 'root として実行する (run as uid/gid root)' 設定を誤ってそのままにし、無意味な 'nobody として実行する (run as uid/gid nobody)' 設定を追加する、という処理を行ってしまいます。
  2. /var ディレクトリがシンボリックリンクの時、proftpd を restart したときに問題になるバグがあります。proftpd を止めたときに、/var シンボリックリンクを誤って削除し、再スタートをかけたときに /var という名前のファイルを作ってしまいます。
この問題は proftpd-1.2.0pre10-2.0potato1 で修正されました。 すぐに proftpd パッケージをアップグレードすることを薦めます
修正:

Debian 2.2 (potato)

ソース:
http://security.debian.org/dists/stable/updates/main/source/proftpd_1.2.0pre10-2.0potato1.diff.gz
http://security.debian.org/dists/stable/updates/main/source/proftpd_1.2.0pre10-2.0potato1.dsc
http://security.debian.org/dists/stable/updates/main/source/proftpd_1.2.0pre10.orig.tar.gz
alpha:
http://security.debian.org/dists/stable/updates/main/binary-alpha/proftpd_1.2.0pre10-2.0potato1_alpha.deb
arm:
http://security.debian.org/dists/stable/updates/main/binary-arm/proftpd_1.2.0pre10-2.0potato1_arm.deb
i386:
http://security.debian.org/dists/stable/updates/main/binary-i386/proftpd_1.2.0pre10-2.0potato1_i386.deb
m68k:
http://security.debian.org/dists/stable/updates/main/binary-m68k/proftpd_1.2.0pre10-2.0potato1_m68k.deb
powerpc:
http://security.debian.org/dists/stable/updates/main/binary-powerpc/proftpd_1.2.0pre10-2.0potato1.1_powerpc.deb
sparc:
http://security.debian.org/dists/stable/updates/main/binary-sparc/proftpd_1.2.0pre10-2.0potato1_sparc.deb