Debian-Sicherheitsankündigung

ftpwatch -- root-Kompromittierung in ftpwatch

Datum des Berichts:

17. Jan 1999

Betroffene Pakete:

ftpwatch

Verwundbar:

Sicherheitsdatenbanken-Referenzen:

In Mitres CVE-Verzeichnis: CVE-1999-0457.

Weitere Informationen:

Wir haben herausgefunden, dass das ftpwatch-Paket, wie es mit Debian GNU/Linux 1.3 und neuer verteilt wird, ein Sicherheitsproblem hat, das den Benutzern einen einfachen Administratorzugang ermöglicht.

Wir empfehlen Ihnen, das ftpwatch-Paket umgehend zu entfernen.

Wir werden an einer neuen Version von ftpwatch arbeiten, um diese Probleme zu behandeln, und wir werden dies in einem neuen Sicherheitsgutachten bekanntgeben.

Ein neues Sicherheitsgutachten wurde nie veröffentlicht. Das aktualisierte Paket ist in neueren Distributionen enthalten und die Debian README enthält folgenden Text:

Aufgrund von Sicherheitsproblemen installiert sich FTPWatch nicht mehr
eigenständig in der crontab-Datei des Administrators (root). Stattdessen muss
jeder Benutzer, der es verwenden will, es in seine eigene crontab eintragen.
Um wie bisher eine wöchentliche Aktualisierung zu erhalten, muss folgende Zeile
eingefügt werden:

  47 5    * * 7 /usr/sbin/ftpwatch

Dies bedeutet zudem, das alle Dateien in ~/.ftpwatch/ mittels »chown« dem
Benutzer übertragen werden müssen (ursprünglich gehörten sie dem Administrator).