S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 04 mars 2004
N° CERTA-2004-AVI-064
Affaire suivie par: CERT-FR
le 04 mars 2004

Avis du CERT-FR

Objet: Vulnérabilité sur Proftpd

Gestion du document

Référence CERTA-2004-AVI-064
Titre Vulnérabilité sur Proftpd
Date de la première version 04 mars 2004
Date de la dernière version 04 mars 2004
Source(s) -
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Exécution de code arbitraire à distance.

Systèmes affectés

Une nouvelle vulnérabilité a été trouvée dans les anciennes versions de ProFTPD :

  • ProFTPD versions 1.2.7 et 1.2.7p ;
  • ProFTPD versions 1.2.8 et 1.2.8p ;
  • ProFTPD versions 1.2.9rc1 et 1.2.9rc1p ;
  • ProFTPD versions 1.2.9rc2 et 1.2.9rc2p.

Résumé

Une vulnérabilité présente sur le démon ProFTPD permet à un utilisateur mal intentionné d'exécuter du code arbitraire sur le système.

Description

Une vulnérabilité dans la fonction _xlate_ascii_write du démon ProFTPD permet à un utilisateur mal intentionné, via la commande ftp RETR invoquée d'une manière particulière, d'exécuter du code arbitraire.

Solution

Les versions 1.2.9.rc3 du 15 octobre 2003 et les versions suivantes disponibles sur le site de ProFTPD ne sont pas affectées par cette vulnérabilité.

Documentation

Gestion détaillée du document

    le 04 mars 2004
    version initiale.