Für ProFTPd wurde ein Exploit veröffentlicht, der es Angreifern ermöglicht, sich ohne gültige Zugangsdaten als beliebiger Benutzer am System anzumelden, wenn mod_mysql benutzt wird.
Betroffen sind anscheinend nur Versionen >1.3.0.
Quellen:
http://article.gmane.org/gmane.comp.sec ... traq/39001
http://article.gmane.org/gmane.comp.sec ... traq/38998
http://milw0rm.com/exploits/8037
FYI: SQL Injection/Authentication Bypass in ProFTPd >1.3.0
-
Roger Wilco
- Posts: 5923
- Joined: 2004-05-23 12:53
-
rudelgurke
- Posts: 409
- Joined: 2008-03-12 05:36
Re: FYI: SQL Injection/Authentication Bypass in ProFTPd >1.3.0
Mit Version 1.3.2 - bereits am 5.2. veröffentlicht - ist dieser Bug wohl behoben. Laut der Homepage und Securityfocus war wohl auch das PostgreSQL Modul betroffen.
Viel Erfolg beim obligatorischen Update
Viel Erfolg beim obligatorischen Update