Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

ProFTPD <= 1.3.5 Betroffene Plattformen: openSUSE 13.1 openSUSE 13.2 Zwei Schwachstellen in ProFTPD können von einem entfernten, nicht authentifizierten Angreifer genutzt werden, um Dateien zu lesen und zu schreiben, beliebigen Programmcode zur Ausführung zu bringen und Denial-of-Service-Angriffe durchzuführen. Für die Distributionen openSUSE 13.1 und openSUSE 13.2 stehen Sicherheitsupdates bereit. Patch: openSUSE Security Update openSUSE-SU-2015:1031-1 http://lists.opensuse.org/opensuse-updates/2015-06/msg00020.html

CVE-2015-3306: Schwachstelle in ProFTPD ermöglicht das Manipulieren von
Dateien und Ausführen beliebigen Programmcodes

Eine Schwachstelle in ProFTPD mit aktiviertem mod_copy-Modul basiert auf der
Bereitstellung der “SITE CPFR” bzw. “SITE CPTO”-Kommandos auch für nicht
autorisierte FTP-Clients. Ein entfernter, nicht authentifizierter Angreifer
kann diese Schwachstelle ausnutzen, um Dateien zu lesen und zu schreiben und
beliebigen Programmcode zur Ausführung zu bringen.

CVE-2013-4359: Denial-of-Service-Schwachstelle in ProFTPD

Die Module mod_sftp und mod_sftp_pam vom Server ProFTPD reservieren Speicher
(pool allocations) ohne ausreichende Überprüfung der verwendeten
Eingabedaten in kbdint.c. Hierdurch kommt es zu einem Integer-Überlauf. Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, um Denial-of-Service-Angriffe durchzuführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0839/

Schwachstelle CVE-2013-4359 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-4359

Schwachstelle CVE-2015-3306 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3306

openSUSE Security Update openSUSE-SU-2015:1031-1:
http://lists.opensuse.org/opensuse-updates/2015-06/msg00020.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.