Debian セキュリティ勧告
proftpd -- proftpd におけるバッファオーバフロー
- 報告日時:
- 1999-11-11
- 影響を受けるパッケージ:
- proftpd
- 危険性:
- あり
- 参考セキュリティデータベース:
- (SecurityFocus の) Bugtraq データベース: BugTraq ID 650.
- 詳細:
- Debian GNU/Linux 2.1 にて配布されている proftpd
のバージョンにはいくつかのバッファオーバランがあり、
遠隔地からの攻撃によって root 権限を奪取される可能性があります。
簡単にまとめると、こちらが抱えている問題には以下のようなものがあります。
- 十分なチェックなしに、ユーザ入力が snprintf() で使われてしまう。
- log_xfer() ルーチンでオーバフローが起る。
- 極めて長いパスネームを使うとオーバフローが起りえる。
これらが問題の一部であることにはご注意ください。
このセキュリティ修正に付け加えて 2000 年問題への対処も行なわれました。
補足情報として SUSE Security (1999 Sep 0052) announcment や BugTraq lists (1999 Sep 0337) をご覧ください。
この問題に対処した新パッケージをバージョン 1.2.0pre9-4 で用意しました。 お使いの proftpd を直ちにアップグレードすることをお勧めします。
- 修正:
-
- ソース:
- http://security.debian.org/dists/slink/updates/source/proftpd_1.2.0pre9-4.diff.gz
- http://security.debian.org/dists/slink/updates/source/proftpd_1.2.0pre9-4.dsc
- http://security.debian.org/dists/slink/updates/source/proftpd_1.2.0pre9.orig.tar.gz
- Alpha:
- http://security.debian.org/dists/slink/updates/binary-alpha/proftpd_1.2.0pre9-4_alpha.deb
- i386:
- http://security.debian.org/dists/slink/updates/binary-i386/proftpd_1.2.0pre9-4_i386.deb
- m68k:
- http://security.debian.org/dists/slink/updates/binary-m68k/proftpd_1.2.0pre9-4_m68k.deb
- Sparc:
- http://security.debian.org/dists/slink/updates/binary-sparc/proftpd_1.2.0pre9-4_sparc.deb