Stabsstelle Informationssicherheit der
Universität Stuttgart (RUS-CERT)
https://cert.uni-stuttgart.de
logo
Meldung Nr: RUS-CERT-1150

[Generic/ProFTPd] Schwachstelle im ProFTP-Daemon
(2003-09-24 17:25:26.807917+00)

Quelle: http://xforce.iss.net/xforce/alerts/id/154

Eine Pufferüberlaufschwachstelle im auf UNIX/Linux-Systemen verbreiteten FTP-Serversystem ProFTP ermöglicht Angreifern über den Download einer speziell geformten Datei im ASCII mode die Kompromittierung des beherbergenden Rechnersystems.

Betroffene Systeme

Einfallstor
Transfer einer entsprechend geformten Datei vom Server zum Client im ASCII mode

Auswirkung
Kompromittierung des beherbergenden Rechnersystems über eine Netzwerkverbindung
(remote root compromise)

Typ der Verwundbarkeit
buffer overflow bug

Gefahrenpotential
sehr hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Eine Pufferüberlaufschwachstelle in den Routinen zur Verarbeitung von zu transferierenden Dateien im ASCII mode kann dazu ausgenutzt werden, das beherbergende Rechnersystem zu kompromittieren. Ein Angreifer muß dazu eine speziell geformte Datei im ASCII mode vom Server herunterladen. Dabei kann ein Pufferüberlauf provoziert werden und beliebiger Programmcode mit den Privilegien des ProFTP-Daemons ausgeführt werden.

Um mögliche Auswirkungen versuchter Angriffe zu minimieren, führt der ProFTP-Daemon üblicherweise gewisse Aktionen nicht mit root-Privilegien aus. Allerdings gibt Hinweise, daß dieser Schutzmechanismus umgangen werden kann und erfolgreiche Angriffe zur Kompromittierung des beherbergenden Rechnersystems führen.

Anmerkung: Dieser Angriff ist nur durchführbar, wenn die speziell geformte Datei, die den Pufferüberlauf provozieren kann, im FTP-Server-Verzeichnisbaum eines verwundbaren Servers vorhanden und im ASCII mode zu einem Klienten transferierbar ist. Ein potentieller Angreifer muß daher im allgemeinen in der Lage sein, eine solche Datei im entsprechenden Verzeichnisbereich des Servers abzulegen.

Gegenmaßnahmen
Derzeit sind noch keine Patches verfügbar. Jedoch wurden die aktuell verfügbaren Quellen aktualisiert und die Schwachstelle darin beseitigt.

Workaround

In beiden Fällen ist dafür zu sorgen, daß proftpd die Konfiguration erneut liest. Bei einem Server, der als Standalone-System beim Bootvorgang des Systems gestartet wird, muß dies durch das Kommando

# kill -HUP <PID des proftpd>

erfolgen.
Wird der ProFTP-Daemon über den inetd gestartet, so liest der proftpd beim nächsten Aufruf automatsch die neue Konfiguration, weitere Aktionen müssen also nicht durchgeführt werden.

Vulnerability ID

Weitere Information zu diesem Thema

(og)

Weitere Artikel zu diesem Thema:

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/


https://cert.uni-stuttgart.de/ticker/article.php?mid=1150