DSA-1727-1 の proftpd-dfsg のセキュリティアップデートには、postgresql バッ クエンド関連で二つのエンバグを行っていました。今回の更新ではその欠陥を修正 します。また、旧安定版 (etch) にはこのセキュリティ問題の影響がないことが判 明しました。念のため元の勧告を再掲します。
ヴァーチャルホスティング機能を持つ FTP デーモン proftpd に二つの SQL イン ジェクションを許す欠陥が発見されました。The Common Vulnerabilities and Exposures project は以下の問題を認識しています。
Shino さんにより、proftpd が特定の文字列をユーザ名に使用することにより SQL インジェクション攻撃が可能であることが発見されました。
TJ Saunders さんにより、proftpd がマルチバイト文字列を使用した場合のエ スケープ処理が不完全なため、SQL インジェクション攻撃が可能であることが 発見されました。
旧安定版 (etch) にはこれらの問題の影響はありません。
安定版 (stable) ディストリビューション (lenny) では、これらの問題はバージ ョン 1.3.1-17lenny2 で修正されています。
テスト版ディストリビューション (squeeze) では、これらの問題は近く修正予定です。
不安定版 (unstable) ディストリビューション (sid) では、これらの問題はバー ジョン 1.3.2-1 で修正されています。
一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。