Das SecurityFocus Vulnerability Help Team gibt bekannt, daß es im Augenblick dabei ist, verschiedene Softwarehersteller, die den Washington University FTP Daemon (WU-FTPD) in ihren Distributionen ausliefern, über eine offenbar schwerwiegende Sicherheitslücke im WU-FTPD zu unterrichten.

Betroffene Systeme

• FTP-Server, die WU-FTPD betreiben

Einfallstor
unbekannt, vermutlich ftp-Verbindungen (Port 20/21)

Auswirkung
unbekannt, möglicherweise Kompromittierung des beherbergenden Systems

Typ der Verwundbarkeit
unbekannt

Gefahrenpotential
Aufgrund der spärlich verfügbaren Information ist das Gefahrenpotential als
sehr hoch
einzustufen.
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
In einer Kurzmeldung auf der Sicherheitsmailingliste Bugtraq hat das SecurityFocus Vulnerability Help Team heute mitgeteilt, daß eine schwerwiegende, über eine Netzwerkverbindung ausnutzbare Sicherheitslücke im Washington University FTP Daemon (WU-FTPD) entdeckt wurde. Da das SecurityFocus Vulnerability Help Team im Augenblick verschiedene Softwarehersteller, die WU-FTPD vertreiben, über diese Schwachstelle unterrichtet, wurde keine weitere Information bekannt gegeben. Insbesondere ist derzeit unklar, ob exploit code zur Ausnutzung dieser Schwachstelle verfügbar ist.

Gegenmaßnahmen

• Patches sind derzeit nicht verfügbar.

Workaround

• Umstieg auf ein anderes FTP-Serverprodukt
• Einschränkung des Zugriffs (z. B. mittels Paketfiltern) auf vertrauenswürdige Rechner.
  Achtung! Diese Maßnahme beseitigt nicht die Verwundbarkeit sondern schränkt lediglich die Menge der potentiellen Angreifer ein.

Vulnerability ID

• Bisher wurde für diese Schwachstelle keine Vulnerability ID vergeben.

Weitere Artikel zu diesem Thema:

• [Generic/WU-FTPD] Schwachstelle in glob - Patches verfügbar (2001-11-29)
  Inzwischen sind Details zur jüngsten Schwachstelle in WU-FTPD bekannt geworden. Es handelt sich um eine Beschädigung der Datenstrukturen des Speicher-Heaps, verursacht durch einen Fehler in der glob-Routine.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/