Stabsstelle DV-Sicherheit der
Universität Stuttgart (RUS-CERT)
https://cert.uni-stuttgart.de
logo
Meldung Nr: RUS-CERT-1337

[Generic/ProFTPd] Schwachstelle in ProFTP 1.3.0
(2006-11-28 18:31:53.918687+00)

Quelle: http://archive.cert.uni-stuttgart.de/archive/bugtraq/2006/11/msg00538.html

Eine off-by-one-Schwachstelle im verbreiteten FTP-Serversystem ProFTP für UNIX/Linux-Systeme kann von einem Angreifer dazu ausgenutzt werden, beliebigen Programmcode mit den Privilegien des proftpd auf dem beherbergenden Rechnersystem auszuführen.

Betroffene Systeme

Nicht betroffene Systeme

Einfallstor
FTP-Kommando oder Ablage einer Datei auf dem Server

Angriffsvoraussetzung
Berechtigung, Dateien auf dem Server abzulegen oder Kommandos an den Server zu senden.

Auswirkung
Ausführung beliebigen Programmcodes mit den Privilegien des FTP-Daemons
(remote user compromise)
Sofern der Server nicht so konfiguriert ist, dass root-Privilegien nach dem Start aufgegeben werden, führt ein erfolgreicher Angriff zur kompromittierung des beherbergenden Rechnersystems.
(remote system compromise)

Typ der Verwundbarkeit
off-by-one-Schwachstelle

Gefahrenpotential
Je nach Konfiguration hoch bis sehr hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Eine off-by-one-Schwachstelle im verbreiteten FTP-Serversystem ProFTP für UNIX/Linux-Systeme kann von einem Angreifer, der in der Lage ist, Dateien auf den FTP-Server abzulegen oder Kommandos an ihn zu senden, dazu ausgenutzt werden, beliebigen Programmcode mit den Privilegien des proftpd auf dem beherbergenden Rechnersystem auszuführen. Sofern die Konfiguration nicht vorsieht, nach dem Start die administrativen Privilegien (root) aufzugeben, kann dies zur Kompromittierung des beherbergenden Rechnersystems führen.

Gegenmaßnahmen

Vulnerability ID

Weitere Information zu diesem Thema

Revisionen dieser Meldung

(og)

Weitere Artikel zu diesem Thema:

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2017 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/


https://cert.uni-stuttgart.de/ticker/article.php?mid=1337