Affected Software (verified):
- - vsftpd 2.3.2 (NetBSD 5.1)
- - vsftpd 2.3.0 (Ubuntu 10.10)
Affected Servers (19.02.2011):
- - ftp.gnu.org (2.0.6)
- - ftp.kernel.org (2.2.2)
- - ftpgen.wip4.adobe.com (2.3.2)
- - ftp.oracle.com (2.0.5)
- - ftp.freebsd.org (2.2.0)
- - more more more...
※本件のバグはvsftpdのバーション2.3.4に直りました。バーション2.3.4には影響がありません。
- - vsftpd 2.3.2 (NetBSD 5.1)
- - vsftpd 2.3.0 (Ubuntu 10.10)
Affected Servers (19.02.2011):
- - ftp.gnu.org (2.0.6)
- - ftp.kernel.org (2.2.2)
- - ftpgen.wip4.adobe.com (2.3.2)
- - ftp.oracle.com (2.0.5)
- - ftp.freebsd.org (2.2.0)
- - more more more...
※本件のバグはvsftpdのバーション2.3.4に直りました。バーション2.3.4には影響がありません。
問題の説明↓
vsftpdのソースコード「ls.c」の所にアスタリスクのハンドルのバグがあり、当たるコマンドラインが来るとresource exhaustion(システムリソース不足になる事)の状況を作れる可能性がありFTPサービスのDoS状況になります。
コードの中には下記の条件のCALLの制限があった方が良いとの事です↓
コードの中には下記の条件のCALLの制限があった方が良いとの事です↓
if (vsf_filename_passes_filter())
注意点↓
本件のバグ再現仕方はウェブで交換されております、例えば下記のサイト↓
http://seclists.org/fulldisclosure/2011/Mar/2
http://cxib.net/stuff/vspoc232.c
http://packetstormsecurity.org/files/download/98796/vsftpd232-dos.txt
影響されている運用しているFTPサービスが多いですので、バーション確認が必要し、アップグレードのお手続きをお願いします。
http://seclists.org/fulldisclosure/2011/Mar/2
http://cxib.net/stuff/vspoc232.c
http://packetstormsecurity.org/files/download/98796/vsftpd232-dos.txt
影響されている運用しているFTPサービスが多いですので、バーション確認が必要し、アップグレードのお手続きをお願いします。
再現仕方↓
こちらからPoCファイル(vspoc232.c)をダウンロードし、それでこちらのページに書いたあう再現手順でやると再現が出来ます。
解決方法↓
下記のURLで最新版のvsftpdバーションのダウンロードが出来ます↓
ftp://vsftpd.beasts.org/users/cevans/untar/vsftpd-2.3.4/Changelog
ftp://vsftpd.beasts.org/users/cevans/vsftpd-2.3.4.tar.gz
ftp://vsftpd.beasts.org/users/cevans/vsftpd-2.3.4.tar.gz.asc
ftp://vsftpd.beasts.org/users/cevans/untar/vsftpd-2.3.4/Changelog
ftp://vsftpd.beasts.org/users/cevans/vsftpd-2.3.4.tar.gz
ftp://vsftpd.beasts.org/users/cevans/vsftpd-2.3.4.tar.gz.asc
問題のTwitterアラート履歴↓
3月2日01:27 AM JST@unixfreaxjp: Vsftpd 2.3.2 DoSの再現情報がもうウェブで交換されていますが早めにバージョンアップの確認をして下さい、この対応が漏れたらgumblarみたいな感染仕組みがまた出てきたぞ! → http://t.co/ju0i2CM
3月1日21:52 PM JST@unixfreaxjp: vsftpdバージョン~2.3.2のリモート側からのDoSセキュリティ問題に付いて → http://t.co/Vxqy6ae
credit: Maksymilian Arciemowicz [ SecurityReason.com ]
---
ゼロデイ・ジャパン
http://0day.jp
Tweet
0 件のコメント:
コメントを投稿