2015-0576: ProFTPD: Eine Schwachstelle ermöglicht das Manipulieren von Dateien und Ausführen beliebigen Programmcodes

Historie:

Version 1 (2015-04-20 16:31)

Neues Advisory

Version 2 (2015-04-29 13:42)

Für Fedora 21 und 22 sowie EPEL 7 werden ebenfalls Sicherheitsupdates in Form der Pakete proftpd-1.3.5-5.fc21, proftpd-1.3.5-6.fc22, bzw. proftpd-1.3.5-5.el7 (jeweils im Status 'testing') zur Verfügung gestellt.

Version 3 (2015-05-20 15:34)

Dieses Update enthält eine Korrektur zu der Meldung DFN-CERT-2015-0720, die auf einem Heise-Artikel über ProFTPD vom 18. Mai 15 basiert, bitte lesen Sie den Beschreibungstext. Außerdem stehen jetzt Sicherheitsupdates für Debian zur Verfügung.

Betroffene Software

Server

Betroffene Plattformen

Linux

Beschreibung:

Durch eine Schwachstelle in ProFTPD kann ein entfernter, nicht authentifizierter Angreifer Dateien manipulieren und beliebigen Programmcode zur Ausführung bringen.

Diese Schwachstelle wurde am 18. Mai 2015 in dem referenzierten Artikel von Heise beschrieben, allerdings ohne Angabe der eindeutigen Referenz (CVE-2015-3306) und fälschlicherweise mit dem Hinweis, dass die ProFTPD-Versionen 1.3.5 und 1.3.4e diese Schwachstelle beheben. Das ist nicht korrekt, auch diese Versionen sind verwundbar.

Derzeit existiert ein Patch für ProFTPD (Referenz anbei), für Fedora 20, 21 und 22 sowie Fedora EPEL 7 stehen Sicherheitsupdates im Status 'stable' zur Verfügung. Und Debian veröffentlicht für die Distributionen Wheezy, Jessie und Stretch (testing Version) Sicherheitsupdates.

Schwachstellen:

CVE-2015-3306

Schwachstelle in ProFTPD ermöglicht das Manipulieren von Dateien und Ausführen beliebigen Programmcodes

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.