汎用の仮想ホスティングFTPデーモンproftp-dfsgで問題が見つかりました。

過度に長いコマンドの不適切な処理により、認証されていないリモートユーザーが、

無限ループに到達することによりサービス拒否攻撃を引き起こす可能性があります。

Debian 8「Jessie」では、この問題はバージョン1.3.5e+r1.3.5-2+deb8u4で修正されました。

proftpd-dfsgパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

これは、Upstreamの累積的なバグ修正の更新で、事前認証のリモートサービス拒否問題の修正を含nndeimasuます。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Stephan Zeisberg氏は、FTP/SFTP/FTPSサーバーであるProFTPDの入力検証がないために、無限ループを介したサービス拒否が発生する可能性があることを発見しました。

このproftpdの更新では、次の問題を修正します：

  - GeoIPがMaxmindによって廃止されました（boo#1156210）。この更新により、geoipのモジュールビルドが削除されます。https://support.maxmind.com/geolite-legacy-discontinuation-notice/を参照してください

  - CVE-2019-19269：サーバーに接続しているクライアントの証明書の検証時に発生する可能性のあるNULLポインターデリファレンスを修正しました（boo#1157803）

  - CVE-2019-19270：CRLエントリに適切なフィールドのチェックの失敗によって一部の有効なCRLが考慮されない問題を修正しました（boo#1157798）

  - CVE-2019-18217：過度に長いコマンドの不適切な処理が原因のリモート未認証サービス拒否を修正しました（boo#1154600 gh#846）

1.3.6bへの更新

  - 事前認証リモートサービス拒否の問題を修正しました（問題#846）。

  - MySQL 8を使用してmod_sql_mysqlをビルドするための修正をバックポートしました（問題#824）。

1.3.6bへの更新：

  - シンボリックリンクナビゲーションを修正しました（Bug#4332）。

  - OpenSSL 1.1.xリリースを使用したmod_sftpのビルドを修正しました （Issue#674）。

  - <Limit>の制限のSITE COPYの順守を修正しました（Bug#4372）。

  - mod_sftp + mod_sftp_pamの使用時のログインでのセグメンテーション違反を修正しました（Issue#656）。

  - mod_faclを静的モジュールとして使用する際の再起動を修正しました

  - Leap 15とTumbleweedで欠落していたRequires（pre）：group（ftp）を追加します（boo#1155834）

  - 欠落していたRequires（pre）：user（ftp）を追加します（boo#1155834）

  - pam_keyinit.soを使用します（boo#1144056）

  - systemd上のハードの依存関係をビルドとインストールに必要なものだけに減らします。

1.3.6 への更新：

  - キャッシング、ロギングに対するRedisの使用のサポート。doc/howto/Redis.htmlドキュメントを参照してください。

  - mod_sql_postgres SSLサポートを修正しました（問題#415）。

  - OpenSSLの代わりにLibreSSLに対するビルドをサポートします（問題#361）。

  - AIX上でのログイン制限に対するサポートを改善します（バグ#4285）。

  - TimeoutLogin（およびその他のタイムアウト）がSFTP接続で正しく機能しませんでした（Bug#4299）。

  - デーモンプロセスによるSIGILL信号とSIGINT信号の処理が原因で子プロセスも終了するようになりました（問題#461）。

  - RPM .specファイルの名前付けが、Fedoraのガイドラインに適合するように変更されました。

  - シンボリックリンクの各コンポーネントをチェックする「AllowChrootSymlinks off」の修正（CVE-2017-7418）。

新しいモジュール：

  - mod_redis、mod_tls_redis、mod_wrap2_redisとRisisがキャッシングメカニズムとしてサポートされるようになりました。Memcacheと同様に、Redis使用モジュールが存在します：mod_redis（Redis接続情報を構成する）、mod_tls_redis（Redisを使用してSSLセッションとOCSP情報をキャッシュする）、およびmod_wrap2_redis（Redisに保存されたACLを使用する）。

変更されたモジュール：

  - mod_ban：mod_banモジュールのBanCacheディレクティブで、Redisベースのキャッシングが使用できるようになりました。doc/contrib/mod_ban.html#BanCacheを参照してください。

- 新しい構成ディレクティブ

  - SQLPasswordArgon2、SQLPasswordScrypt

    Argon2およびScryptベースのパスワードのキー長が、これらの新しいディレクティブ経由で構成できるようになりました。
    これまでは、キー長が32バイトになるようにハードコードされていました。これでは、他のすべての実装と相互運用できません（問題#454）。

変更された構成ディレクティブ

  - AllowChrootSymlinks：「AllowChrootSymlinks off」が使用されている場合は、DefaultRootパスの最後の部分のみがシンボリックリンクであるかどうかがチェックされます。現在は、「AllowChrootSymlinks off」が使用されている場合は、DefaultRootパスの各コンポーネントがシンボリックリンクであるかどうかがチェックされます。

  - Include：Includeディレクティブが<Limit>セクション内で使用できるようになりました。例：<Limit LOGIN> Include /path/to/allowed.txt DenyAll </Limit> APIの変更

  - サードパーティモジュールによって使用される新しいJSON APIが追加されました。

これは、Upstreamの累積的なバグ修正の更新で、事前認証のリモートサービス拒否問題の修正を含んでいます。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
130287	Debian DLA-1974-1 : proftpd-dfsgセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/10/28	2024/4/16	high
130352	Fedora 30：proftpd（2019-7559f29ace）	Nessus	Fedora Local Security Checks	2019/10/29	2024/4/16	high
130314	Fedora 29：proftpd（2019-ae019c7e9f）	Nessus	Fedora Local Security Checks	2019/10/28	2024/4/16	high
130525	DebianDSA-4559-1：proftpd-dfsg - セキュリティ更新	Nessus	Debian Local Security Checks	2019/11/6	2024/4/16	high
132911	openSUSEセキュリティ更新プログラム：proftpd（openSUSE-2020-31）	Nessus	SuSE Local Security Checks	2020/1/15	2024/3/29	critical
130307	Fedora 31：proftpd（2019-848e410cfb）	Nessus	Fedora Local Security Checks	2019/10/28	2024/4/16	high

検出

プラグインの検索

high

high

high

high

critical

high