FTP 伺服器 - ProFTPD发现安全漏洞

一款相当好用且用户广泛的 FTP 伺服器 - ProFTPD，，日前被发现在处理 CIDR ACL 方面有安全上的漏洞。ProFTPD在4月28日 推出的 1.2.10rc1 已修正了此一问题，各大 Linux/BSD 厂商/组织，均已推出修补套件，因此会受到影响的版本是 1.2.9 (含) 以前的版本。

据自由软体技术交流网消息指出，ProFTPD 这次发现的安全漏洞就在於有心者可使用特殊攻击手法绕过 CIDR ACL 的限制，原先 Deny 可能就变成 AllowALL，管理员所要限制(某些IP位址)存取的目录位置，其保护功能就失效了。

所谓的 CIDR ACL 便指使用 CIDR 格式来表示存取控制位址的一份清单。其中CIDR 是 Classless Interdomain Routing 的简称，其格式例：192.168.1.0/24，ACL 则是 Access Control List 的简称，意即用来做为存取控制的清单。

目前使用 ProFTPD的管理员可以采取下列行动：

1. 升级至 1.2.10rc1；

2. 使用 rpm/deb/port/portage 者应升级您的套件；

3. 暂不想升级者，应避免使用 ProFTPD 的 CIDR ACL 功能，请改用 mod_wrap 搭配 /etc/hosts.allow, hosts.deny 或 ipchains/iptables/等其它 ipfilter 机制为之。

本文由 CTIMES 同意转载，原文链接:http://www.ctimes.com.tw/DispCols/cn/%E4%B8%93%E7%94%A8%E7%BD%91%E9%99%85%E4%BC%BA%E6%9C%8D%E8%BD%AF%E4%BB%B6/0405201742JM.shtmll