DSA-2346-1 proftpd-dfsg -- несколько уязвимостей

Критичная (9.0)

(AV:N/AC:L/Au:S/C:C/I:C/A:C)

Debian

proftpd (any) proftpd-basic (any) proftpd-dev (any) proftpd-doc (any) proftpd-mod-ldap (any) proftpd-mod-mysql (any) proftpd-mod-odbc (any) proftpd-mod-pgsql (any) proftpd-mod-sqlite (any)

В ProFTPD, сервере FTP, было обнаружено несколько уязвимостей:

(Идентификатор CVE отсутствует)
        ProFTPD неправильно использует данные из незашифрованного буфера входных данных
        после включения шифрования с помощью STARTTLS. Эта проблема
        схожа с
        CVE-2011-0411.
CVE-2011-4130
        ProFTPD использует пул ответов после его освобождения при
        необычных условиях, что может приводить к выполнению удалённого
        кода. (Версия в lenny не подвержена этой
        проблеме.)

В предыдущем стабильном выпуске (lenny) эта проблема была исправлена в
версии 1.3.1-17lenny9.
В стабильном выпуске (squeeze) эта проблема была исправлена в
версии 1.3.3a-6squeeze4.
В тестируемом (wheezy) и нестабильном (sid) выпусках
эта проблема была исправлена в версии 1.3.4~rc3-2.
Рекомендуется обновить пакеты proftpd-dfsg.

Проблема может быть решена обновлением операционной системыдо следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 6:
noarch:
proftpd-basic - 1.3.3a-6squeeze4
proftpd-dev - 1.3.3a-6squeeze4
proftpd-doc - 1.3.3a-6squeeze4
proftpd-mod-ldap - 1.3.3a-6squeeze4
proftpd-mod-mysql - 1.3.3a-6squeeze4
proftpd-mod-odbc - 1.3.3a-6squeeze4
proftpd-mod-pgsql - 1.3.3a-6squeeze4
proftpd-mod-sqlite - 1.3.3a-6squeeze4
Debian GNU/Linux 5:
noarch:
proftpd - 1.3.1-17lenny8
proftpd-basic - 1.3.1-17lenny8
proftpd-doc - 1.3.1-17lenny8
proftpd-mod-ldap - 1.3.1-17lenny8
proftpd-mod-mysql - 1.3.1-17lenny8
proftpd-mod-pgsql - 1.3.1-17lenny8

http://www.debian.org/security/dsa-2346/

Источник: CVE
Наименование: CVE-2011-4130
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-4130