セキュリティ情報 / 1999 / セキュリティ情報 -- Debian FTP packages

Debian セキュリティ勧告

Debian FTP packages -- ftp サーバにおけるバッファオーバフロー

報告日時:

1999-02-10

影響を受けるパッケージ:

proftpd, wu-ftpd-academ

危険性:

あり

参考セキュリティデータベース:

Mitre の CVE 辞書: CVE-1999-0911.
CERT の脆弱性リスト、勧告および付加情報: CA-1999-03.

詳細:

Debian GNU/Linux 2.0 (hamm) に含まれている wu-ftp-academ および proftpd パッケージに バッファオーバーフローがあります。これを使ってそのマシンのシェルアクセスを 得ることができるので、ただちにこれらのパッケージをアップグレードすることを お薦めします。

Netect report (CA-1999-03) からの抜粋:
この脆弱を突いて攻撃ができる侵入者は、root 特権を持った遠隔の ftp サーバへの 対話型アクセスを奪取することができます。

Debian GNU/Linux 2.1 (slink) を使っているのなら、新しいバージョンを ダウンロードしてください。wu-ftpd は、設定によっては無効状態でインストール されることがあります。wu-ftpd を有効にするには /etc/inetd.conf にある /usr/sbin/ftpd の行のコメントをはずして /etc/init.d/netbase reload を実行してください。/usr/sbin/in.ftpd の行は無効のままにしておくべきです。

修正:

PROFTPD:

ソース: http://ftp.debian.org/debian/dists/stable/main/source/net/proftpd_1.2.0pre1.orig.tar.gz, http://ftp.debian.org/debian/dists/stable/main/source/net/proftpd_1.2.0pre1-2.diff.gz, http://ftp.debian.org/debian/dists/stable/main/source/net/proftpd_1.2.0pre1-2.dsc

i386: http://ftp.debian.org/debian/dists/stable/main/binary-i386/net/proftpd_1.2.0pre1-2.deb

m68k: http://ftp.debian.org/debian/dists/stable/main/binary-m68k/proftpd_1.2.0pre1-2.deb

WU-FTPD:

ソース: http://ftp.debian.org/debian/dists/stable/main/source/net/wu-ftpd-academ_2.4.2.16.orig.tar.gz, http://ftp.debian.org/debian/dists/stable/main/source/net/wu-ftpd-academ_2.4.2.16-12.2.diff.gz, http://ftp.debian.org/debian/dists/stable/main/source/net/wu-ftpd-academ_2.4.2.16-12.2.dsc

i386: http://ftp.debian.org/debian/dists/stable/main/binary-i386/net/wu-ftpd-academ_2.4.2.16-12.2.deb

m68k: http://ftp.debian.org/debian/dists/stable/main/binary-m68k/net/wu-ftpd-academ_2.4.2.16-12.2.deb

md5:
6fa9921e694972015d4e3d34184c4f2b proftpd_1.2.0pre1-2_i386.deb
52053f8b9f348ff1929db91951cf394f proftpd_1.2.0pre1-2_m68k.deb
b851adb345917a6f92e8b03f8cc97ff2 wu-ftpd-academ_2.4.2.16-12.2_i386.deb
9302526c8c6368f87e805e943ce66875 wu-ftpd-academ_2.4.2.16-12.2_m68k.deb