OHaHa's學習心得

安全通告: ftpd (SA-08:12.ftpd)

主題:          Cross-site request forgery in ftpd(8)
分類:          core
模組:          ftpd
發布時間:     2008-12-23
影響版本:     所有FreeBSD版本
修正版本:    2008-12-23 01:23:09 UTC (RELENG_7, 7.1-PRERELEASE)
                2008-12-23 01:23:09 UTC (RELENG_7_1, 7.1-RC2)
                2008-12-23 01:23:09 UTC (RELENG_7_0, 7.0-RELEASE-p7)
                2008-12-23 01:23:09 UTC (RELENG_6, 6.4-STABLE)
                2008-12-23 01:23:09 UTC (RELENG_6_4, 6.4-RELEASE-p1)
                2008-12-23 01:23:09 UTC (RELENG_6_3, 6.3-RELEASE-p7)
I.   相關背景資料
ftpd是FreeBSD基本系統內建檔案傳輸協定(File Transfer Protocol , FTP)的服務.
雖預設未啟動此ftpd服務,但可以透過inetd伺服器啟用.

一個跨站台的偽造攻擊主要是透過網頁瀏覽器,設計使用者點選某個特定的URL連結來
讓此用戶信任的站台執行指令.

II.  問題描述
ftpd伺服器會將長指令分成許多requests.
這可能造成伺服器執行某個隱藏另外一個非常長的指令.

III. 影響
執行ftpd服務的FreeBSD系統,可能會產生透過web瀏覽器來執行跨伺服器的偽造指令


IV. 替代方案
沒有替代方案,但若沒有執行此FTP伺服器的系統不受影響.
但需要留意其他ftp服務可能有類似的bug.

V.   解決方案
以下擇一即可:

1) 昇級系統至 6-STABLE, 或 7-STABLE, 或 本安全通告發布日期之後的 RELENG_7_1, RELENG_7_0, RELENG_6_4, 或 RELENG_6_3 版本.

2) 修補現有系統:

以下修補被用來提供給 FreeBSD 6.3, 6.4, 7.0, 和 7.1 版本.

a) 下載修補檔
# fetch http://security.FreeBSD.org/patches/SA-08:12/ftpd.patch

b) 以root執行下列指令:
# cd /usr/src
# patch < /path/to/patch
# cd /usr/src/libexec/ftpd
# make obj && make depend && make && make install