Se publica la versión 1.2RC3 del ProFTPD

La versión 1.2RC3 de ProFTPD se ha hecho pública hace una semana,
solucionando algunos problemas de seguridad importantes.
ProFTPD es un servidor de FTP (File Transfer Protocol – Protocolo de
transferencia de archivos) para entornos UNIX, distribuído bajo
licencia GNU GPL. Se trata de un servidor de gran calidad, con una
buena reputación a nivel de rendimiento y seguridad.

Las versiones previas a la 1.2RC3 de ProFTP, no obstante, adolecen de
varios problemas de seguridad:

* “Memory leak” (pérdidas de memoria) cuando se ejecuta el comando
“SIZE”. Esta vulnerabilidad permite que un atacante vaya consumiendo
más y más memoria, a base de enviarle comandos “SIZE”. Aunque el
consumo de memoria es moderado (5.000 peticiones “SIZE” consumen
unos 300Kbytes de memoria), un atacante lo bastante persistente
puede lograr que el servidor empiece a “paginar” memoria a disco y,
una vez que el espacio de “swap” se llena, puede bloquear el
servidor o forzar su caída.

Una investigación posterior demostró que la vulnerabilidad existe
también para otros comandos, y que la pérdida de memoria se produce
cuando el ProFTPD no está bien instalado e intenta abrir un fichero
“scoreboard” (coordinación entre los diferentes demonios) para el
que no dispone de permisos suficientes.

* “Memory leak” (pérdida de memoria) cuando se ejecuta el comando
“USER”. Se produce cuando se invoca el comando “USER” sin
parámetros. Unas 10.000 invocaciones consumen 1.7Mbytes de memoria.

* Error de “format string”: Se crea un “format string” en el que toman
parte datos controlables por un usuario.

Se recomienda a todos los usuarios de ProFTPD que actualicen a la
versión 1.2RC3 o superior.

Más información:

ProFTPD
http://www.proftpd.net/

Show Stopper bugs
http://www.proftpd.net/critbugs.html

permenent_pool memory leakages
http://bugs.proftpd.net/show_bug.cgi?id=408