Avis du CERT-FR
Objet : Vulnérabilité de wu-ftpd
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Exécution de code arbitraire
- Élévation de privilèges
Systèmes affectés
Toutes les versions du serveur wu-ftpd jusqu'à la version 2.6.1 incluse, y compris certaines versions Beta 2.7.0.
wu-ftpd est livré avec la plupart des distributions Linux.
Résumé
Une vulnérabilité du serveur wu-ftpd permet à un utilisateur mal intentionné d'exécuter du code arbitraire sur la machine.
Description
Une vulnérabilité de la fonction glob utilisée par le serveur wu-ftpd permet à un utilisateur mal intentionné d'exécuter du code arbitraire sur la machine.
Si le compte anonymous du serveur FTP est désactivé, l'utilisateur doit pouvoir s'authentifier auprès du serveur pour exploiter cette vulnérabilité.
Contournement provisoire
En attendant d'appliquer les correctifs, arrêter le serveur wu-ftpd, ou filtrer le port 21/tcp au niveau des gardes-barrières pour limiter l'exploitation de cette vulnérabilité.
Solution
Pour la version 2.6.1, il faut appliquer tous les correctifs présents dans le répertoire suivant :
ftp://ftp.wu-ftpd.org/pub/wu-ftpd-attic/wu-ftpd-2.6.1-patches/
La version 2.6.2 n'est pas vulnérable et est disponible sur le site de wu-ftpd.
Contactez votre éditeur pour obtenir la mise à jour du serveur wu-ftpd correspondant à votre distribution.
Documentation
-
site de wu-ftpd :
http://www.wu-ftpd.org
Gestion détaillée du document
| Date | Description |
|---|---|
| 29 novembre 2001 | version initiale; |
| 03 décembre 2001 | première révision : <UL> <LI>retrait de l'avis RedHat (la version présentée étant encore vulnérable) ;</LI> <LI>mention de la version 2.6.2 (non vulnérable) ;</LI> <LI>ajouts des avis de sécurité Mandrake et Debian.</LI> </UL> |