Avis du CERT-FR
Objet : Vulnérabilités dans ProFTPD
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à l'intégrité des données
- Exécution de code arbitraire à distance
Systèmes affectés
ProFTPD versions 1.3.0 à 1.3.3b.
Résumé
Deux vulnérabilités affectent ProFTPD. L'exploitation réussie de celles-ci permet, entre autre, l'exécution de code arbitraire à distance.
Description
Deux vulnérabilités ont été corrigées dans ProFTPD.
La première provient d'un débordement de pile lorsque l'utilisateur envoie au serveur une chaîne d'échappement spécifique. Lorsqu'elle est réussie, cette attaque permet l'exécution de code arbitraire à distance.
La seconde vulnérabilité se situe dans le module mod_site_misc. Si une personne malintentionnée a des droits d'accès en écriture à un répertoire, elle peut ensuite modifier des fichiers et des répertoires auxquels elle n'aurait théoriquement pas accès.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité ProFTPD du 29 octobre 2010
http://www.proftpd.org/docs/NEWS-1.3.3c -
Référence CVE CVE-2010-3867
https://www.cve.org/CVERecord?id=CVE-2010-3867
Gestion détaillée du document
| Date | Description |
|---|---|
| 03 novembre 2010 | version initiale. |