Доступен корректирующий релиз FTP-сервера ProFTPD 1.3.3e (http://www.proftpd.org/) в котором исправлена 21 ошибка (http://www.proftpd.org/docs/NEWS-1.3.3e). В новой версии устранено две уязвимости:
- Уязвимость (http://www.opennet.ru/opennews/art.shtml?num=29839) в реализации (http://bugs.proftpd.org/show_bug.cgi?id=3624) команды STARTTLS в mod_tls, дающая возможность подстановки команды в FTP-сессию, работающую по защищенному TLS-каналу.- Уязвимость (http://bugs.proftpd.org/show_bug.cgi?id=3586) в модуле "mod_sftp", позволяющая удаленно инициировать отказ в обслуживании через исчерпание всей доступной памяти, при обработке SSH-пакетов в которых установлено огромное значение в поле, указывающем на размер прикрепленного блока данных.
Другие исправления:
- Устранена потенциальная возможность переполнения буфера в различных модулях, использующих функцию sreplace();
- Исправлена проблема с некорректной обработкой привилегий при использовании опции "--enable-autos...URL: http://www.proftpd.org/
Новость: http://www.opennet.ru/opennews/art.shtml?num=30107
А ведь самая главная уязвимость осталась неисправленной: ProFTPD.
Нужно vsftpd использовать — и всё будет хорошо.
уж сколько раз твердили миру...
vsftpd может виртуальных юзеров?(в простом plain text файле)
> vsftpd может виртуальных юзеров?(в простом plain text файле)может.
ссылку на документацию дайте пожалуйста, где описывается как это сделать.
> ссылку на документацию дайте пожалуйста, где описывается как это сделать.http://www.google.ru/search?q=vsftpd+virtual+users&ie=utf-8&...
>уж сколько раз твердили миру...Вы так говорите, как будто не в vsftpd совсем недавно нашли глупейшую дырку (неконтролируемый глоббинг).
>>уж сколько раз твердили миру...
> Вы так говорите, как будто не в vsftpd совсем недавно нашли глупейшую
> дырку (неконтролируемый глоббинг).это бага в libc, а не в реализации сервера. дырку тут же заткнули.
до возможностей proftpd всем ftp-серверам вместе взятым ещё плыть и плыть )
> до возможностей proftpd всем ftp-серверам вместе взятым ещё плыть и плыть )А где сейчас используется протокол ftp с какими-то особо богатыми возможностями? Вопрос не флейма ради. Просто из того, что я вижу и сам юзаю - в 99% случаев - ftp это зачастую просто анонимный доступ к файлообменникам. И то, его оттуда успешно вытесняет http.
> не флейма ради. Просто из того, что я вижу и сам
> юзаю - в 99% случаев - ftp это зачастую просто анонимныйключевая фраза - "сам вижу и сам юзаю"
а так как больше ничего не видел
то и результат ясен ...
Угу.
http://phdru.name/Russian/Software/ftp_vs_http.html
>> до возможностей proftpd всем ftp-серверам вместе взятым ещё плыть и плыть )
> А где сейчас используется протокол ftp с какими-то особо богатыми возможностями? Вопрос
> не флейма ради. Просто из того, что я вижу и сам
> юзаю - в 99% случаев - ftp это зачастую просто анонимный
> доступ к файлообменникам. И то, его оттуда успешно вытесняет http.Преимущество профтпд в модульности
Все правильно. FTP мертвый протокол живущий за счет нервов виндузятников.
Очень фичастый ... паравоз. В век самолётов - не нуна!
Каких именно функций в vsftpd вам не хватает?
> Нужно vsftpd использовать — и всё будет хорошо.proftpd и vsftpd - как apache и nginx. Уровень возможностей несколько разный, поэтому они не конкуренты. И не могут полностью заменять друг друга.
> А ведь самая главная уязвимость осталась неисправленной: ProFTPD.
> Нужно vsftpd использовать — и всё будет хорошо.Эээ, помнится мне, нечто подобное в своё время говорили и про dovecot.
Дескать, единственный pop3/imap сервер, не имеющий уязвимостей. Он и был таковым, пока им пользовались единицы. Как пошел dovecot в массы - так и в нём стали находить дыры и баги.
> Дескать, единственный pop3/imap сервер, не имеющий уязвимостей. Он и был таковым, пока
> им пользовались единицы. Как пошел dovecot в массы - так и
> в нём стали находить дыры и баги.Ссылку на хоть одну опасную уязвимость в dovecot в студию. Там только несущественные мелочи до сих пор находили, которые максимум к отвалу текущей сессии могли привести.
>> Дескать, единственный pop3/imap сервер, не имеющий уязвимостей. Он и был таковым, пока
>> им пользовались единицы. Как пошел dovecot в массы - так и
>> в нём стали находить дыры и баги.
> Ссылку на хоть одну опасную уязвимость в dovecot в студию.Не-а, не приведу. Бо сам не пользуюсь, только новости читаю, и не очень внимательно. Кому интересно, можно прямо тут, на опеннете и поискать. Всё, что я по этому вопросу видел, я видел здесь.
Я не с целью опустить dovecot или облагородить proftpd высказался. А продемонстрировать, что всякая категоричность в таких вопросах излишня.
а модуль для корректного отображения кодировок и utf8 и cp1251 не добавили случайно? ато патчилось оно только с хорошими пинками ...
Зачем эти костыли? Если у кого-то клиент поддерживает только cp1251 или koi8-r - это его половые трудности, зачем под убогих прогибаться?
А с utf-8 там всё хорошо, емнип.
С перекодировкой давно все отлично. Мдуль NLS.
хороший сервер proftpd легко поднять чем vsftpd но безопасность прежде всего!
я думаю что все_ таки iptables и подобные фильтры должны защитить...