リモートの Oracle Linux 5 ホストに、ELSA-2009-1278 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - 3.5.9 より前の lftp のミラー --script が、シェルメタ文字を適切に引用しません。このため、リモートのユーザーの支援を受けた攻撃者が、悪意のあるスクリプトを介してシェルコマンドを実行する可能性があります。注意:  このスクリプトは get などの実行可能ファイルを上書きするコマンドをすでにサポートしているため、この問題がセキュリティ境界を越えるかどうかは明らかではありません。(CVE-2007-2348)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

1 つのセキュリティ問題と様々なバグを修正する更新済みの lftp パッケージが、Red Hat Enterprise Linux 5 で現在利用可能です。

この更新は、Red Hat セキュリティレスポンスチームによりセキュリティインパクトが小さいと評価されています。

LFTP は、FTP および HTTP プロトコル用の高度なファイル転送プログラムです。これには Bash と同様にジョブコントロールがあり、Readline ライブラリを入力に使用します。これにはブックマーク、内蔵ミラーリングがあり、複数のファイルを並行して転送できます。これは信頼性を念頭に設計されています。

lftp は、「mirror --script」コマンドを使用してシェルスクリプトを生成する際に、シェルのメタ文字を適切にエスケープしていないことが
判明しました。悪意のある FTP サーバーからファイルをダウンロードするために生成されたミラーリングスクリプトにより、ユーザーが lftp を実行している時に、その FTP サーバーを制御する攻撃者が任意のコマンドを実行できる可能性があります。
（CVE-2007-2348）

この更新は以下のバグも修正します：

* 「Mirror」または「get」コマンドを「-c」オプションで使用する際、lftp は特定の状態をチェックしません。これによって、プログラムの応答停止、ハングアップ、およびコマンドの未完了が生じる可能性があります。
たとえば、lftp がディレクトリリスト表示を待機しているときに、空のディレクトリであることを示す「226」メッセージを受信すると、これまでそのメッセージを無視し、引き続き待機していました。この更新により、これらの条件は適切にチェックされており、「mirror」または「get」で「-c」を使用する場合に、lftp がハングすることはありません。（BZ#422881）

* Secure FTP（SFTP）接続で「put」、「mput」または「reput」コマンドを使用する際に「-c」オプションを指定すると、不適切なサイズのファイルが破損する場合があります。この更新により、SFTP でこれらのコマンドを「-c」オプションで使用すると、想定どおりに動作し、転送されたファイルが転送プロセスで破損することはありません。
（BZ#434294）

* 以前、LFTP は OpenSSL ライブラリにリンクしていました。ただし、OpenSSL のライセンスは LFTP の GNU GPL ライセンスと互換ではなく、LFTP には OpenSSL リンクの設定を許可する例外が含まれていません。この更新により、LFTP は、GNU LGPL ライセンスでリリースされる、GnuTLS（GNU Transport Layer Security）ライブラリにリンクします。OpenSSL と同じように、GnuTLS は SSL および TLS のプロトコルを実装しているため、機能性は変わっていません。（BZ#458777）

* lftp 内から「help mirror」を実行すると、man ページに表示される完全なリストと比較して、利用可能なオプションのサブセットのみが表示されました。この更新により、lftp で「help mirror」を実行すると、lftp の man ページのコマンドセクションに記載されているのと同じミラーオプションのリストが提示されます。（BZ#461922）

* LFTP は upstream から gnu-lib をインポートします。gnu-lib が GNU GPLv2 から GNU GPLv3 に切り替わると、内部で LFTP ライセンスに矛盾が発生していました。gnu-lib のインポートにより変更が行われるため、LFTP は GNU GPLv2 としてライセンスされているものの、パッケージの一部は外見上 GNU GPLv3 としてライセンスされていました。この更新により、LFTP 自体が GNU GPLv3 に切り替わり、矛盾を解決しています。（BZ#468858）

* lftp 内で「ls」コマンドを使用し、HTTP 経由で接続されているリモートシステム上でディレクトリリストを表示すると、スペースを含むファイル名が不適切に表示されました。この更新では、この動作を修正しています。（BZ#504591）

* デフォルトのエイリアス「edit」は、デフォルトエディターを定義しませんでした。EDITOR がシステムにより事前に設定されていなかった場合、lftp は「~/.lftp/edit.tmp.$$」を試しに実行していました（そのファイルは実行可能に設定されていないために失敗していました）。さらに、編集エイリアスは、ファイル名のタブ完了をサポートしておらず、空白を含むファイル名を間違って解釈していました。
更新済みパッケージでは、システム定義の EDITOR がない場合での、デフォルトのエディター（vi）を定義しています。さらに、編集エイリアスは、タブ完了をサポートしており、ダウンロードとアップロードのどちらの場合でも、空白を含むファイル名を正しく処理しています。（BZ#504594）

注：この更新により、LFTP がバージョン 3.7.3 から、上記の問題への修正以外に多数のバグ修正も組み込まれた、Upstream バージョン 3.7.11 にアップグレードされます。これらの修正の詳細については、この更新のインストール後、「/usr/share/doc/lftp-3.7.11/NEWS」ファイルを参照してください。
（BZ#308721）

LFTP の全ユーザーは、この更新済みパッケージにアップグレードし、これらの問題を解決することが推奨されます。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 3.5.9 より前の lftp のミラー --script が、シェルメタ文字を適切に引用しません。このため、リモートのユーザーの支援を受けた攻撃者が、悪意のあるスクリプトを介してシェルコマンドを実行する可能性があります。注：スクリプトがgetなどの実行可能ファイルを上書きするコマンドをすでにサポートしているため、この問題がセキュリティの境界を越えるかどうかは明らかではありません。 （CVE-2007-2348）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

CVE-2007-2348 lftp ミラー --スクリプトがシンボリックリンクの名前とターゲットをエスケープしません

lftp は、「mirror --script」コマンドを使用してシェルスクリプトを生成する際に、シェルのメタ文字を適切にエスケープしていないことが
判明しました。悪意のある FTP サーバーからファイルをダウンロードするために生成されたミラーリングスクリプトにより、ユーザーが lftp を実行している時に、その FTP サーバーを制御する攻撃者が任意のコマンドを実行できる可能性があります。
（CVE-2007-2348）

この更新は以下のバグも修正します：

-「Mirror」あるいは「get」コマンドを「-c」オプションで使用する際、lftp は特定の状態をチェックしないため、プログラムが応答しない、ハングを起こす、コマンドが完了しないなどの問題が生じる可能性があります。たとえば、lftp がディレクトリリスト表示を待機しているときに、空のディレクトリであることを示す「226」メッセージを受信すると、これまでそのメッセージを無視し、引き続き待機していました。この更新により、これらの条件は適切にチェックされており、「mirror」または「get」で「-c」を使用する場合に、lftp がハングすることはありません。（BZ#422881）

- Secure FTP（SFTP）接続にて「put」、「mput」あるいは「reput」のコマンドを使用する際、「-c」オプションを指定することにより不適切なサイズのファイル破損を引き起こす可能性があります。
 この更新により、SFTP でこれらのコマンドを「-c」オプションで使用すると、想定どおりに動作し、転送されたファイルが転送プロセスで破損することはありません。
 （BZ#434294）

- 以前、LFTP は OpenSSL ライブラリにリンクされていました。
 ただし、OpenSSL のライセンスは LFTP の GNU GPL ライセンスと互換ではなく、LFTP には OpenSSL リンクの設定を許可する例外が含まれていません。この更新により、LFTP は、GNU LGPL ライセンスでリリースされる、GnuTLS（GNU Transport Layer Security）ライブラリにリンクします。OpenSSL と同じように、GnuTLS は SSL および TLS のプロトコルを実装しているため、機能性は変わっていません。（BZ#458777）

- lftp からの「help mirror」の実行は、man ページに表示されている完全なリストと比較して、利用可能なオプションのサブセットのみを表示していました。この更新により、lftp で「help mirror」を実行すると、lftp の man ページのコマンドセクションに記載されているのと同じミラーオプションのリストが提示されます。（BZ#461922）

- LFTP は upstream から gnu-lib をインポートします。gnu-lib が GNU GPLv2 から GNU GPLv3 に切り替わると、内部で LFTP ライセンスに矛盾が発生していました。gnu-lib のインポートにより変更が行われるため、LFTP は GNU GPLv2 としてライセンスされているものの、パッケージの一部は外見上 GNU GPLv3 としてライセンスされていました。この更新により、LFTP 自体が GNU GPLv3 に切り替わり、矛盾を解決しています。（BZ#468858）

- 「ls」コマンドが lftp で使用され、HTTP を通じて接続されているリモートシステム上でディレクトリリスト表示が表示される際、スペースを含むファイル名が不適切に表示されていました。この更新では、この動作を修正しています。
 （BZ#504591）

- デフォルトのエイリアスである「edit」はデフォルトエディターを定義しませんでした。EDITOR がシステムにより事前に設定されていなかった場合、lftp は「~/.lftp/edit.tmp.$$」を試しに実行していました（そのファイルは実行可能に設定されていないために失敗していました）。さらに、編集エイリアスは、ファイル名のタブ完了をサポートしておらず、空白を含むファイル名を間違って解釈していました。更新済みパッケージでは、システム定義の EDITOR がない場合での、デフォルトのエディター（vi）を定義しています。さらに、編集エイリアスは、タブ完了をサポートしており、ダウンロードとアップロードのどちらの場合でも、空白を含むファイル名を正しく処理しています。（BZ#504594）

注：この更新により、LFTP がバージョン 3.7.3 から、上記の問題への修正以外に多数のバグ修正も組み込まれた、Upstream バージョン 3.7.11 にアップグレードされます。これらの修正の詳細については、この更新のインストール後、「/usr/share/doc/lftp-3.7.11/NEWS」ファイルを参照してください。
（BZ#308721）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
180603	Oracle Linux 5: lftp (ELSA-2009-1278)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	critical
43780	CentOS 5：lftp（CESA-2009:1278）	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	medium
217039	Linux Distros のパッチ未適用の脆弱性: CVE-2007-2348	Nessus	Misc.	2025/3/3	2025/3/3	critical
60654	Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の lftp	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium

検出

プラグインの検索

critical

medium

critical

medium