rulinux.net - Новости - Security - Ошибка в библиотке libc привела к уязвимости большинства FTP-серверов http://rulinux.net/ rulinux.net - Новости - Security - Ошибка в библиотке libc привела к уязвимости большинства FTP-серверов http://rulinux.net/ http://rulinux.net/rss_icon.png Re: Ошибка в библиотке libc привела к уязвимости большинства FTP-серверов https://rulinux.net/message.php?newsid=30765&page=1#66583 https://rulinux.net/message.php?newsid=30765&page=1#66583 Thu, 07 Oct 2010 19:49:41 +0400 >Может, ну его нах, новости на главной, давайте толкс стартовой сделаем ?
Давайте лучше тракер )))

]]> Re: Ошибка в библиотке libc привела к уязвимости большинства FTP-серверов https://rulinux.net/message.php?newsid=30765&page=1#66582 https://rulinux.net/message.php?newsid=30765&page=1#66582 Thu, 07 Oct 2010 19:26:53 +0400 vsftpd. Проблемы шерифа не колышат.

]]> Re: Ошибка в библиотке libc привела к уязвимости большинства FTP-серверов https://rulinux.net/message.php?newsid=30765&page=1#66581 https://rulinux.net/message.php?newsid=30765&page=1#66581 Thu, 07 Oct 2010 18:52:41 +0400 proftpd подвержен...

И е№;вашумедь, модераторы флеймят в толксах и никто так новость и не апрувнул.

Может, ну его нах, новости на главной, давайте толкс стартовой сделаем ?

//Id

]]> Re: Ошибка в библиотке libc привела к уязвимости большинства FTP-серверов https://rulinux.net/message.php?newsid=30765&page=1#66580 https://rulinux.net/message.php?newsid=30765&page=1#66580 Thu, 07 Oct 2010 18:36:10 +0400 >Vsftpd проблеме не подвержен.
А proftpd?

]]> Re: Ошибка в библиотке libc привела к уязвимости большинства FTP-серверов https://rulinux.net/message.php?newsid=30765&page=1#66579 https://rulinux.net/message.php?newsid=30765&page=1#66579 Thu, 07 Oct 2010 18:25:34 +0400 А я везде юзаю VSFtpd :))

]]> Re: Ошибка в библиотке libc привела к уязвимости большинства FTP-серверов https://rulinux.net/message.php?newsid=30765&page=1#66578 https://rulinux.net/message.php?newsid=30765&page=1#66578 Thu, 07 Oct 2010 18:21:08 +0400 Понравилось:

> Oracle Sun Solaris 10
Ждём в новостях новую версию этой замечательной ОС под названием Google Red Hat Microsoft IBM Novell Oracle Sun Solaris 42

]]> Ошибка в библиотке libc привела к уязвимости большинства FTP-серверов https://rulinux.net/message.php?newsid=30765&page=1#66577 https://rulinux.net/message.php?newsid=30765&page=1#66577 Thu, 07 Oct 2010 17:15:54 +0400 Ошибка в реализации функции glob() в различных Си-библиотеках, например в glibc и BSD libc, может быть использована удалённым атакующим, чтобы нарушить работу FTP/SFTP серверов. В связи с тем, что на многих серверах разрешён анонимный вход, ошибку легко эксплуатировать и многие программные продукты являются уязвимыми. В отчёте утверждается, что серверы даже таких крупных компаний, как Adobe и HP, подвержены этой проблеме.

Проблема возникла из-за того, что переменная GLOB_LIMIT, которую добавили в 2001 году для ограничения объёма памяти функцией glob() c целью защиты от аналогичной уязвимости, не эффективна. Проверка на совпадение (globbing) вызывает функцию glob(), чтобы сравнить список файлов с шаблоном и вернуть на выход список совпадающих файлов. В виду того, что GLOB_LIMIT не действует в ситуациях когда в пути фигурирует несуществующий путь, данная проблема теоретически позволяет исчерпать доступную процессу память, используя определённый шаблон ("*/../*/../*строка" или "{..,..,..}/*/{..,..,..}/*строка"), и, в зависимости от операционной системы и мощности оборудования, может привести к полной остановке работы или неожиданному завершению работы FTP/SFTP сервиса.

Уязвимость на данный момент подтверждена в следующих продуктах: OpenBSD 4.7, NetBSD 5.0.2, FreeBSD 7.3 / 8.1, Oracle Sun Solaris 10 и GNU Libc (glibc), поставляемой в Linux. Для демонстрации проблемы выпущен эксплоит. Разработчики NetBSD уже закрыли эту проблему, другие компании пока даже не заявляют о её существовании: Slackware, Gentoo, Mandriva, openSUSE, CentOS, Fedora, RHEL, Debian, Ubuntu, FreeBSD, OpenBSD.

Vsftpd проблеме не подвержен.

Источник Opennet.ru


>>> Подробнее]]>