FTP-Demon Sicherheitsscheunentor

Article View: dnet.comp.pcs

Article #76

#76

From: Joerg Lehners
Date: Tue, 31 Oct 1989 04:22

30 lines
2045 bytes

Moin !

Heute (eigentlich schon gestern) musste ich leider feststellen, dass
der ftpd (FTP-Demon, /usr/lib/inet/ftpd) unter MUNIX V.3.1 ein ziemliches
Sicherheitsloch - eigentlich sogar ein Sicherheitsscheunentor - ist.
Ich will den Bug hier nicht weiter ausbreiten, da ich nicht weiss, in wie
weit dieser Bug schon bekannt ist.
Zunaechst einmal bin ich daran interessiert, ob es schon einen offiziellen
Fix von PCS dafuer gibt, und in wieweit der Bug bekannt ist.

Ich hab den Fehler hier in Oldenburg zunaechst einmal durch eine
Reportierung der Rick Adams ftpd Sourcen (von uunet.uu.net) behoben
Programme mit Sockets sind ja noch einfach nach Munix V.3.1
zu portieren, aber der seteuid() Systemcall war schon ein Hammer ... .
Im wesentlichen hab ich einen Workaround gemacht, um den die seteuid
Funktinalitaet einigermassen nachzubilden.

Falls Interesse besteht, werde ich meinen Workaround der Allgemeinheit
zur Verfuegung stellen nachdem ich ihn ueberarbeitet und auf einigermassen
Wasserdichtheit abgeklopft habe. Ganz 100 % sicher ist der Workaround
allerdings auch nicht, 100 % Sicherheit ist in diesem Fall nur durch
einigermassen Restrukturierung zu erreichen.

  Bis denn
	Joerg
--
/ UUCP:    lehners@uniol              | Joerg Lehners                  \
|       ...!uunet!unido!uniol!lehners | Fachbereich 10 Informatik ARBI |
| BITNET:  066065 AT DOLUNI1          | Universitaet Oldenburg         |
\ Inhouse: aragorn!joerg              | D-2900 Oldenburg               /

Technical Details

Message-ID: <1172@uniol.UUCP>

Path: arc1-ca.pugleaf.net!gmdzi!unido!uniol!lehners

Show Full Headers

Complete Article Headers

X-Google-Language: GERMAN,ASCII-7-bit
X-Google-Thread: 1354df,2ed77c5e7330ccb0,start
X-Google-Attributes: gid1354df,public
X-Google-ArrivalTime: 1989-10-31 02:02:47 PST
Path: arc1-ca.pugleaf.net!gmdzi!unido!uniol!lehners
From: lehners@uniol.UUCP (Joerg Lehners)
Newsgroups: dnet.comp.pcs
Subject: FTP-Demon Sicherheitsscheunentor
Keywords: ftp demon sicherheit
Message-ID: <1172@uniol.UUCP>
Date: 31 Oct 89 04:22:17 GMT
Distribution: dnet
Organization: University of Oldenburg, W-Germany
Lines: 30
Posted: Tue Oct 31 05:22:17 1989