Удаленная уязвимость в OpenLDAP и локальная в ProFTPD

> В ProFTPD ... злоумышленник имеющий локальный аккаунт может выполнить свой код на сервере c правами суперпользователя.

Так с правами суперпользователя или с правами пользователя под которым работает ProFTPD ?

> Так с правами суперпользователя или с правами пользователя под которым работает ProFTPD ?

Я думаю, что если кто-то достаточно глуп, чтобы еще использовать насквозь дырявый proftpd при существовании vsftpd, то он достаточно глуп, чтобы запускать его с правами суперпользователя.. Так что это равноценные утверждения.

использовал и буду использовать proftpd , кста в debian stable с proftpd все ок .
а как у vsftpd с наличием фич которые есть у proftpd ?

имхо proftpd пускать не от рута можно толко из inetd, а это не всегда хочеться делать

Товарищ root_at_localhost, вы уже третью новость сегодня без указания первоисточника тащите. Оригинал текста: http://www.opennet.ru/opennews/art.shtml?num=9233

The vulnerability is located in the "Controls" module. This is an optional feature of ProFTPD server, that must be activated in the configuration file.

это не о чем не говорит?

>имхо proftpd пускать не от рута можно толко из inetd, а это не всегда хочеться делать

А с какими еще правами вам дадут забиндиться на <1024 порт? После запуска привилегии дропаются конечно.

а я что сказал?

to alt0v14:

После открытия сокета, он работает не с рутовыми правами.

Сразу видно, что не все понимают о чём речь и насколько велика проблема у ProFTPD. Если вы делали ./configure --enable-ctrls, то стоит опасаться, в остальных случаях расслабьтесь - он по умолчанию не компилится...

P.S. Учите матчасть, а то лишь бы флейм развести....

>После открытия сокета, он работает не с рутовыми правами.

а вдруг уязвимость будет в коде который работает от рута? ;)

proftpd умеет свитчить юзера а openldap? я в конфиге не нашел.

А как у pure-ftpd и vsftp работа с radius???И есть ли маны как сделать прямую загрузку xferlog в базу MySQL??

а я для авторизации пользую пам, а там хоть радиус хоть лдап

а квоты?

Как бы там ни было, но вещь неприятная..

>Я думаю, что если кто-то достаточно глуп, чтобы еще использовать насквозь дырявый proftpd при существовании vsftpd, то он достаточно глуп, чтобы запускать его с правами суперпользователя.. Так что это равноценные утверждения.

Как в vsftpd выделить пользователю на отдельный каталог права только на отдельные команды? Например, сделать так, чтобы в определенном каталоге можно было закачивать файлы, но не каталоги, можно было видеть список файлов, но нельзя было читать/писать уже залитые файлы?

Подозреваю, что товарищи, которые так критикуют ProFTPD, на деле с ним ниразу не работали и не понимают зачем вообще такой FTP сервер нужен, когда есть vsftpd, который отлично справляется с задачей "умею копать, умею не копать", чего им более чем достаточно.

+1

Пока нет сложных задач можно юзать простенькие фтп сервера..а когда понадобиться сделать что-то сложное..так без proftpd не обойтись. З.Ы.А как в pureftpd и vsftpd сделана работа с .ftpaccess файлами?

> Я думаю, что если кто-то достаточно глуп, чтобы еще использовать насквозь дырявый proftpd при существовании vsftpd, то он достаточно глуп, чтобы запускать его с правами суперпользователя.. Так что это равноценные утверждения.

ftp distro.ibiblio.org

Connected to jungle.metalab.unc.edu.

220 ProFTPD Server (Bring it on...)

фперёд

а квоты я храню тоже в лдапе потом выбираю их скриптом и расставляю