1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
|
#use wml::debian::translation-check translation="b128ca5f062ffd92dfde8a7b5888d4e87ec075f2" mindelta="1"
<define-tag description>lammelsesangreb</define-tag>
<define-tag moreinfo>
<p>Der blev opdaget to sikkerhedsproblemer som påvirker vsftpd, en letvægts-
og effektiv ftp-server udviklet med henblik på sikkerhed.</p>
<ul>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2011-2189">CVE-2011-2189</a>
<p>Man opdagede at Linux-kerne mindre end 2.6.35 er betragteligt langsommere
til at frigive end at oprette netværksnamespaces. Som en følge heraf, og
fordi vsftpd anvender denne funktionalitet som en sikkerhedsforbedring, for
at netværksisolere forbindelser, var det muligt at forårsage en
lammelsesangrebstilstand (denial of service) som følge af kernens overdrevne
allokering af hukommelse. Rent teknisk er der ikke tale om en fejl i vsftpd,
men om en fejl i kernen. Dog er funktionaliteten anvendelig, men
tilbageførsel af den specifikke kernepatch vil være for indgribende.
Desuden kræver det at en lokal angriber har CAP_SYS_ADMIN-muligheden, for at
funktionaliteten kan misbruges. Derfor, som en rettelse, er der tilføjet et
kerneversionstjek i vsftpd, for at deaktivere funktionaliteten når kernen er
mindre end 2.6.35.</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2011-0762">CVE-2011-0762</a>
<p>Maksymilian Arciemowicz opdagede at vsftpd håndterede visse glob-udtryk i
STAT-kommandoer på ukorrekt vis. Dermed var det muligt for en
fjernautentificeret angriber at iværksætte lammelsesangreb (overdrevet
CPU-forbrug og processlotudmattelse) via fabrikerede
STAT-kommandoer.</p></li>
</ul>
<p>I den gamle stabile distribution (lenny), er dette problem rettet i
version 2.0.7-1+lenny1.</p>
<p>I den stabile distribution (squeeze), er dette problem rettet i
version 2.3.2-3+squeeze2. Bemærk at
<a href="https://security-tracker.debian.org/tracker/CVE-2011-2189">\
CVE-2011-2189</a> ikke påvirker versionen i lenny.</p>
<p>I distributionen testing (wheezy), vil dette problem snart blive rettet.</p>
<p>I den ustabile distribution (sid), er dette problem rettet i version
2.3.4-1.</p>
<p>Vi anbefaler at du opgraderer dine vsftpd-pakker.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2011/dsa-2305.data"
|
