Bei Befehlen mit bestimmten Sonderzeichen in Dateinamen gerät der FTP-Server wu-ftpd in eine Rekursion, bei der er fast die gesamte CPU-Zeit des Systems verbraucht, warnt die Sicherheitsfirma iDefense. Betroffen sind vermutlich alle Versionen des auf Unix/Linux-Systemen immer noch häufig eingesetzten FTP-Servers, insbesondere die aktuelle 2.6.2.
Enthält ein Dateiname das Jokerzeichen '*' ruft sich die Match-Funktion wu_fnmatch() immer wieder selbst mit kleineren Substrings auf. Ist der String ausreichend lang, beschäftigt sich das System damit eine ganze Weile. Der Fehler lässt sich mit einem gewöhnlichen FTP-Client auslösen, iDefense führt als Beispiel den Befehl
ftp> dir *******************************************
*******************************************
*******************************************
**.*
auf. Um sich zu schützen, empfiehlt das Advisory, den anonymen Zugang zum FTP-Server zu deaktivieren; Benutzer mit einem regulären Zugang können den Server dann allerdings immer noch traktieren.
iDefense hat nach eigener Aussage mehrfach versucht, die Entwickler zu benachrichtigen, aber keine Antwort erhalten. Tatsächlich datiert die aktuelle Version 2.6.2 auf November 2001. Für einen Fehler aus dem Jahr 2003 stellen die Entwickler zwar einen Quellcode-Patch bereit, für eine neue Version hat es aber offenbar nicht gereicht. Server-Administratoren sollten sich wohl überlegen, ob sie nicht auf einen besser gepflegten Server wie ProFTP umsteigen.
Quelle und Links .
http://www.heise.de/newsticker/meldung/56832
