Критическая уязвимость в ProFTPD

РЕШЕТО!

Счастливые обладатели рпм-дистров могут спать спокойно?
Хотя думаю, что вряд ли дыра зависит от типа пакетов.

Этим кто-то еще пользуется ?

Критическая уязвимость в ProFTPD

Проверено: maxcom (11.04.2015 9:12:25)

2015

уязвимость разве что в человеческом факторе, что кто-то продолжает использовать ftp в 2015 году.

Если честно, то я так и не нашел аналога FTP
Ну если только SFTP
Ну а вообще, FTP умеет в через SSL работать

Позор

webdav?

А еще варианты?

Уязвимость находится в модуле mod_copy

Надо ещё добавить, что модули могут не быть установлены.
А этот, и вовсе, из контриба:
http://www.castaglia.org/proftpd/modules/mod_copy.html

Installation
To install mod_copy, copy the mod_copy.c file into:

proftpd-dir/contrib/

Счастливые обладатели рпм-дистров могут спать спокойно ?

Пакет, который с mod_copy, удали, и всё. Это если он собран. Вообще, для реализации базового функционала, proftpd в модулях не нуждается совсем.

а оборудование сетевое как прошивать без него?

Поцаны, а что с rhel? Есть в пакетах уязвимость?

tftp/http/scp, не? Цыска, по крайней мере, умеет все из них. Другие, думаю, тоже.

Хорошо, что я отказался от убунт... Теперь только одни шрифты напоминают мне о нашей «любви».

Эээ... А что не так с proftpd?

Даже в windows IMO менее удобный клиент.

Сказал автор xmpp-клиента на шелле

так же как прошивают без него и сейчас. Через tftp

ненужно, закопайте, 2015-ый год

#то!

Зачем это нужно, когда есть vsftpd?

Многие заказчики отдельно просят поставить на веб-сервер FTP, потому-что привыкли его использовать на шаред-хостингах.
Я про SFTP конечно рассказываю, но всё же их убеждение требует некоторых усилий.

Я так понимаю, с грамотно настроенным SELinux эту уязвимость не получится эксплуатировать.

уязвимости подвержены такие операционные системы, как Ubuntu 14.04, Ubuntu 12.04,

даже организовать запуск кода на веб-сервере

в бубунте ж аппармор :-)

Ты допустил несколько опечаток в «Pure-FTPd».

эту уязвимость не получится эксплуатировать.

Какую уязвимость ? Нашли проблемный модуль в (!!) контрибе ( maxcom), потом говорят, что у Proftpd проблемы. Если какие-то модули из контриба в каких-то дистрибутивах пакетят, это, во-первых, не значит, что их пакетят везде, во-вторых, не значит, что их ставят. Модули не из контриба, и то не ставят, зачастую (мне вот ни разу нужны не были).

Так ведь в /etc/passwd нет полезной информации? Вся мякотка в shadow? Или я ННП?

В 2015ом кто-то использует фтп? о_О

Или я ННП ?

Проблема не в этом, а в принципиальной доступности произвольных файлов кому угодно без аторизации раз, и в возможности что-то куда-то записать, опять же, без авторизации, два. В общем-то, ничего хорошего, конечно.

В 2015ом кто-то использует фтп? о_О

Как-будто кривой код - это ftp-специфичная проблема, ога. У ftp только одна проблема - передача пароля (и данных) в открытом виде. Но в ситуациях, когда это не является проблемой, это вполне нормальный протокол. Тут вот с vsftpd сравнивали, или с Pure-FTPd. Это вот нормально, но с точки зрения разработчиков и кода, но никак не протокола.

Классное отверстие.

PS: давно перелез на pure-ftpd, все нравится

У ftp только одна проблема - передача пароля (и данных) в открытом виде

А также передача данных и команд по разным портам

Да, Вы правы, это я не заметил оборота

,к примеру,

Я так понимаю, с грамотно настроенным SELinux эту уязвимость не получится эксплуатировать.

Но у тебя такого нет. И ни у кого нет. Такая вот печаль.

Почему я не должен использовать FTP в 2015 году?

Эээ... А что не так с proftpd?

Да все. Это как у школьниц, в наши людоедские времена. В грязных трусиках девочки ходят на свидания ровно один раз в своей жизни.

Для меня передача пароля плейнтекстом - достаточный аргумент отказа от протокола :) Не спорю, что протокол неплохой сам по себе, но я параноик плейнтекст не люблю.

передача пароля плейнтекстом

Для anonymous FTP это без разницы.

В 2015ом кто-то использует фтп? о_О

А то, детка, перестань читать ЛОР и купи себе модные трусики.

Creating New FTP Site with Isolate Users Using Active Directory Mode IIS 6.0.

Кстати, детка, если знаешь эти слова про Isolate Users Using Active Directory, можешь поднять от 2-5к просто влегкую.

Пакет, который с mod_copy, удали, и всё. Это если он собран. Вообще, для реализации базового функционала, proftpd в модулях не нуждается совсем.

А то. Ты еще про sendmail нам запарь, дядя Сережа, и как в ваших колхозах зарплату выдают еще молочными девками с котятками на руках.

А то. Ты еще про sendmail нам запарь

А ты про что можешь запарить ? :-)

Ну и бред https://support.microsoft.com/ru-ru/kb/555205

Т.е. они только сейчас до этого додумались?

3 different modi are supported: - No isolation, which causes users to be able to traverse to folders of other users. - Isolation based on folders. In this case, a FTP root folder is set up and each user has a dedicated, sandboxed subfolder. - Isolation based on Active Directory. With this option, the user's FTP settings are stored as attributes of the corresponding user object in Active Directory. A big deal of flexibility is possible using this option.

можешь поднять от 2-5к просто влегкую.

Покажи мне того работадателя, кто платит 5k$ за настройку web/ftp сервера? Хочу поржать.

все нормальные хостинги в сша, даже мелкие.

реально еще кто-то использует FTP? Ну и как там, в 1998 году-то?

А ты про что можешь запарить ? :-)

Про студенток из Беркли с отпадными попками.

реально еще кто-то использует FTP? Ну и как там, в 1998 году-то?

Если ты и твои тупые друзья из школы используете vk.com для передачи файлов, это не значит, что серьезные люди должны делать так же.

Для меня передача пароля плейнтекстом - достаточный аргумент отказа от протокола :)

там tls уже лет 12 как (на моей памяти, а может и больше)

реально еще кто-то использует FTP? Ну и как там, в 1998 году-то?

Хорошие новости, чувак. Ты выжил. По сравнению с инкубатором для недоношеных детей, откуда тебя достали, ничего не изменилось. Мамки-няньки с большими сиськами, больше негритянок, но я надеюсь, ты - не расист. Это сейчас не модно.

Ты чей фейк, детка?

ftp
2015

Все правильно, люди, не умеющие в WebDAV, должны страдать. Тем более, нафиг вообще возможность копирования файлов на сервере нужна клиенту? Что за костыли?