RNP > Serviços > Segurança em redes > Alertas do CAIS

CERT Advisory CA-2001-33

Vulnerabilidade Remota no Wu-ftpd

[CERT/CC, 29.11.2001, revisão 01]

O CAIS está repassando o alerta do CERT/CC, CERT Advisory CA-2001-33 Multiple Vulnerabilities in WU-FTPD, que trata de uma série de vulnerabilidades relacionadas ao servidor ftp wu-ftpd.

A primeira vulnerabilidade (VU#886083) está associada a um buffer overflow presente na função glob(). A exploração desta vulnerabilidade permite acesso privilegiado local e remoto.

Maiores informações sobre a função glob() podem ser obtidas em alerta anterior do CERT/CC, disponível em:

http://www.cert.org/advisories/CA-2001-07.html

Para esta vulnerabilidade foi atribuído um identificador, CVE-2001-0550, pelo grupo Common Vulnerabilities and Exposures (CVE), maiores informações podem ser obtidas em:

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2001-0550

A segunda vulnerabilidade (VU#639760) está associada a autenticação prevista na RFC 931 quando o wu-ftpd está sendo executado em modo debug. Esta vulnerabilidade somente ocorre no caso de se estar utilizando a autenticação prevista na RFC 931 que faz requisições ao serviço Identd ou Authd para obter informações antes de autorizar a conexão.

Para esta vulnerabilidade foi atribuído um identificador, CVE-2001-0187, pelo grupo Common Vulnerabilities and Exposures (CVE), maiores informações podem ser obtidas em:

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2001-0187

Para maiores detalhes e também para obter os patches necessários, consulte o alerta do CERT/CC em anexo e disponível em:

http://www.cert.org/advisories/CA-2001-33.html

O CAIS recomenda a instalação dos patches disponibilizados pelos fabricantes com urgência, pois o comprometimento de uma máquina servidora da rede expõe a rede como um todo. Enquanto não for possível a instalação de correções, o CAIS recomenda que seja desabilitado o serviço de ftp ou que seja removido o acesso anonymous. Sem o acesso anonymous somente usuários cadastrados no sistema poderão tentar explorar a vulnerabilidade.

Para os usuários do sistema IDS Snort seguem as regras que detectam as tentativas de explorar a primeira vulnerabilidade:

alert tcp $EXTERNAL_NET any -> $HOME_NET 21 (msg:"FTP wu-ftp file completion attempt ["; flags:A+; content:"["; content:!"]"; reference:url,archives.neohapsis.com/archives/vulnwatch/2001-q4/0059.htm l; sid:1377; rev:1;)

alert tcp $EXTERNAL_NET any -> $HOME_NET 21 (msg:"FTP wu-ftp file completion attempt {"; flags:A+; content:"{"; content:!"}"; reference:url,archives.neohapsis.com/archives/vulnwatch/2001-q4/0059.htm l; sid:1378; rev:1;)

Contato com o Cais:

+55 (19) 3787-3300
+55 (19) 3787-3301

cais@cais.rnp.br

Chave PGP pública do Cais