これは、現在の Upstream メンテナンスリリースの更新であり、悪意のあるユーザーが特定のデータを操作して、脆弱なシステムを侵害するために悪用することがある 2 件の安全上の問題に、対処します。

- Telnet IAC （Interpret As Command）エスケープシーケンスが含まれているユーザー入力を処理するコードでの論理エラーを悪用して、特別に細工された入力を FTP または FTPS サービスに送信することで、スタックベースのバッファオーバーフローを引き起こすことがあります。悪用に成功すると、任意のコードを実行できることがあります。これには、CVE-2010-4221 という名前が割り当てられています。詳細は、次を参照してください：http://bugs.proftpd.org/show_bug.cgi?id=3521

- 「mod_site_misc」モジュール内の入力検証エラーは悪用される可能性がります。例えば、ディレトリが作成および削除され、シンボリックリンクが作成され、書き込み可能なディレトリの外にあるファイルの時刻が変更される可能性があります。デフォルトで有効ではなく、攻撃者にディレトリへの書き込みアクセス権がある「mod_site_misc」を使用する構成のみが、この問題に対して脆弱であり、CVE-2010-3867 が割り当てられています。詳細は、次を参照してください：http://bugs.proftpd.org/show_bug.cgi?id=3519

また、この更新では SQLite 認証の問題を修正し、新しいモジュール「mod_geoip」を追加します。このモジュールは、接続しているクライアントに関する地理的情報を検索し、それを使用してサーバーへのアクセスコントロールを設定するために使用できます。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

検出

Fedora 13 : proftpd-1.3.3c-1.fc13 （2010-17098）

critical Nessus プラグイン ID 50553

変更ログが見つかりません