Thema: ProFTPD diverses...

[SiLæncer]

In ProFTPD können Angreifer mit Schreibrechten auf dem FTP-Server beliebigen Code einschleusen und ausführen. Die Entwickler glauben, dass auch andere Angriffsvektoren möglich sind und liefern eine aktualisierte Version aus. Die Schwachstellen hat Evgeny Legerov entdeckt, der ein Exploit-Modul für das Metasploit-Framework in seinem kommerziellen VulnDisco-Paket bereitstellt. Das VulnDisco-Paket enthielt den Exploit schon seit Ende vergangenen Jahres, allerdings hat Legerov erst jetzt die Existenz und Details der Lücke veröffentlicht.

Eine Schwachstelle betrifft unter anderem die sreplace()-Funktion. Durch eine Verkettung von fehlerhaften Längenberechnungen, fehlenden Überprüfungen auf negative Werte und dem Einsatz dieser Werte bei Kopieroperationen können Angreifer Legerov zufolge beliebigen Code mit root-Rechten ausführen. Der öffentlich verfügbare Metasploit-Exploit demonstriert die Sicherheitslücke für ProFTPD 1.3.0 RC3, die Entwickler des Servers wähnen jedoch sämtliche Versionen bis einschließlich 1.3.0 verwundbar.

Zwar benötige der vorgestellte Exploit Schreibrechte, aber es könnte auch Angriffswege ohne diese Voraussetzung geben, resümieren die ProFTPD-Programmierer in einem Bugtracker-Eintrag. Sie haben nun die Version 1.3.0a zum Download bereitgestellt, die das Sicherheitsloch stopft. Alle Administratoren, die ProFTPD einsetzen, sollten so schnell wie möglich auf die neue Version umsteigen. Der Bugtracker-Eintrag führt auch Gegenmaßnahmen für Anwender auf, die ihre Installation nicht sofort aktualisieren können.

Siehe dazu auch:

    * ProFTPD remote buffer overflow vulnerability, Sicherheitsmeldung von Evgeny Legerov
    * Bugtracker-Eintrag der ProFTPD-Entwickler
    * Download der aktualisierten Version von ProFTPD

Quelle und Links : http://www.heise.de/security/news/meldung/81651

[SiLæncer]

Ein Fehler im populären FTP-Server ProFTPD lässt sich ausnutzen, um ohne Authentifizierung einen Server zu kompromittieren. Kern des Problems ist ein Buffer Overflow in der Funktion pr_netio_telnet_gets() zur Auswertung von TELNET-IAC-Sequenzen.

ProFTPD ist in der Lage, derartige Sequenzen auf Port 21 zu verarbeiten; sie dienen dazu, bestimmte Optionen zu aktivieren oder zu deaktivieren, die vom Telnet- oder FTP-Protokoll selbst nicht unterstützt werden. Durch den Buffer Overflow ist ein Angreifer in der Lage, eigenen Code gezielt auf den Stack der Anwendung zu schreiben und zu starten. Das Update auf die ProFTPD-version 1.3.3c behebt das Problem.

Das Update beseitigt zudem eine Directory-Traversal-Schwachstelle, die sich jedoch nur ausnutzen lässt, wenn das Modul "mod_site_misc" geladen ist. Ein Angreifer mit Schreibrechten auf ein bestimmtes Verzeichnis könnte aus dem erlaubten Pfad ausbrechen und außerhalb Verzeichnisse löschen, erzeugen sowie Symlinks anlegen. Standardmäßig ist das Modul nicht geladen beziehungsweise einkompiliert.

Die Entwickler stufen das Update als "wichtiges Sicherheits-Update" ein. Anwender sollten es so schnell wie möglich installieren.

Quelle : www.heise.de

[SiLæncer]

Hacker nutzten vermutlich eine Sicherheitslücke in dem Ftp-Server des Proftpd-Projekts, um Schadcode in die aktuelle Version Proftpd 1.3.3c einzuschleusen. Darüber können sich unautorisierte Benutzer mit Root-Rechten auf Ftp-Servern Zutritt verschaffen, die die manipulierte Version von Proftpd verwenden.

Proftpd-Entwickler TJ Saunders hat in der Mailingliste des quelloffenen Proftd-Servers mitgeteilt, dass bereits am 28. November 2010 um etwa 20 Uhr UTC (21 Uhr MEZ) ein Einbruch erfolgte. Die Einbrecher ersetzten den Quellcode der aktuellen Version 1.3.3c durch ihren eigenen, der einen Backdoor-Code enthielt. Am 1. Dezember 2010 wurde der kompromittierte Code entdeckt und wenig später korrigiert.

Der Einbruch fand auf dem Hauptserver des Projekts statt. Der dort gelagerte Code wird per Rsync auch auf die Spiegelserver übertragen. Laut den Entwicklern des Proftd-Projekts enthalten alle Versionen des Quellcodes, die zwischen dem 28. November und dem 2. Dezember 2010 heruntergeladen wurden, das Backdoor-Programm.

Über den eingeschleusten Schadcode ist es laut Entwickler möglich, eine ungenehmigte Verbindung zu einem kompromittierten Proftpd-Server mit administrativen Rechten aufzubauen. Anwendern wird entsprechend geraten, umgehend auf die reparierte Version 1.3.3c zu aktualisieren.

Bereits zuvor war auf Metasploit eine Sicherheitslücke in dem FTP-Server bekanntgeworden: Angreifer konnten durch einen Pufferüberlauf in Proftd Schadcode einschleusen. Die Lücke betraf die Versionen 1.3.2rc3 bis 1.3.3b, die auf BSD-Servern laufen. Ob die Angreifer diese Lücke nutzen, um sich Zugang zu dem zuletzt gehackten Quellcode zu verschaffen, ließen die Entwickler in der Mitteilung offen.

Quelle : www.golem.de

[SiLæncer]

Die Entwickler des freien Ftp-Servers Proftpd haben die Sicherheitslücke geschlossen, die Hacker wenige Tage zuvor nutzten, um im Quellcode eine Hintertür zu platzieren. Zudem wollen die Entwickler die Software mit weiteren Korrekturen stabilisiert haben.

Vor wenigen Tagen gaben die Proftpd-Entwickler bekannt, dass Einbrecher eine Sicherheitslücke in dem freien FTP-Server nutzten, um auf den Entwicklungsservern einzubrechen und eine Hintertür im Quellcode zu platzieren. Das eingeschleuste Backdoor-Programm war schnell entfernt und eine neue Version verfügbar.

Offensichtlich hatten die Entwickler die Sicherheitslücke aber noch nicht geschlossen, über die der Einbruch geschah. Das Hackermagazin Phrack hatte vor etwa einem Monat die Schwachstelle im SQL-Modul entdeckt und veröffentlicht. Über einen Pufferüberlauf in der Funktion sql_prepare_where konnten Angreifer beliebigen Code auf einem Proftpd-Server ausführen.

Die aktuelle Version 1.3.3d schließt nicht nur die Sicherheitslücke, sondern enthält auch Korrekturen zu Programmierfehlern, die bei der Suche nach Mustern in versteckten Dateien eine hohe CPU-Last oder fehlerhafte Dateien beim Hochladen über Sftp verursachten.

Eine komplette Liste aller Änderungen haben die Entwickler in einer entsprechenden Textdatei aufgezeichnet. Der Quellcode der aktuellen Version ist auf den Servern des Projekts zum Download erhältlich. Gleichzeitig haben die Entwickler die Vorabversion 1.3.4rc1 veröffentlicht. Die nächste Version gilt als sogenanntes Maintenance-Release und soll Korrekturen für nichtkritische Fehler mitbringen. Ein Erscheinungstermin steht noch nicht fest.

Quelle : www.golem.de

[SiLæncer]

Das ProFTPD-Team hat mit der Veröffentlichung der Versionen 1.3.4 und 1.3.3g eine kritische Sicherheitslücke geschlossen, über die ein Angreifer Code in den betroffenen Server einschleusen konnte.

In den aktuellen ProFTPD-Versionen 1.3.3g und 1.3.4 haben die Entwickler eine kritische Sicherheitslücke geschlossen. Sie kann dazu genutzt werden, Code über das Netz in den Speicher eines betroffenen Servers einzuschleusen und dort auszuführen. ProFTPD 1.3.3g ist gleichzeitig die letzte Version der 1.1.3er-Reihe.

ProFTPD 1.3.4 und 1.3.3g erhalten zugleich die neue TLS-Option NoEmptyFragments, die verhindern soll, dass Man-in-the-Middle-Angriffe genutzt werden können, um Daten, die über SSL 3.0 und TLS 1.0 verschickt werden, zu entschlüsseln. Da nicht alle Clients NoEmptyFragments unterstützen, bleibt die Einstellung optional.

ProFTPD 1.3.4 erhält zusätzlich eine neue Funktionen, darunter das Modul "mod_tls_memcache", mit dem Informationen aus SSL-Sitzungen zwischengespeichert werden können. Mit "SQLNamedConnectInfo" kann ProFTPD Verbindung zu verschiedenen SQL-Datenbanken gleichzeitig herstellen, etwa wenn von einer Benutzerinformationen ausgelesen werden und in einer anderen Verbindungen protokolliert werden.

Sämtliche Änderungen in ProFTPD 1.3.3g und 1.3.4 haben die Entwickler in entsprechenden Changelog-Dateien zusammengefasst. Der Quellcode der aktuellen Versionen ist auf Spiegelservern erhältlich.

Quelle : www.golem.de