DSA-406-1 lftp -- переполнение буфера

Высокая (7.5)

(AV:N/AC:L/Au:N/C:P/I:P/A:P)

Debian

lftp (any)

Ульф Хаммернхаммар (Ulf Härnhammar) обнаружил возможность
переполнения буфера в lftp, наборе разнообразных ftp/http-клиентов
с интерфейсом командной строки. Нападающий может создать на web-сайте
специальный каталог, так что выполнение команд ls или rels повлечёт
за собой выполнение произвольного кода на машине клиента.
В стабильном дистрибутиве (woody) эта проблема исправлена
в версии 2.4.9-1woody2.
В нестабильном дистрибутиве (sid) эта проблема исправлена
в версии 2.6.10-1.

Проблема может быть решена обновлением операционной системы до следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 3.0:
ppc:
lftp - 2.4.9-1woody2
s390x:
lftp - 2.4.9-1woody2
m68k:
lftp - 2.4.9-1woody2
i686:
lftp - 2.4.9-1woody2
hppa:
lftp - 2.4.9-1woody2
sparc:
lftp - 2.4.9-1woody2
alpha:
lftp - 2.4.9-1woody2
ia64:
lftp - 2.4.9-1woody2
mips:
lftp - 2.4.9-1woody2
mipsel:
lftp - 2.4.9-1woody2
arm:
lftp - 2.4.9-1woody2

http://www.debian.org/security/dsa-406/

Источник: CVE
Наименование: CVE-2003-0963
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2003-0963