S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 17 juin 2005 No CERTA-2005-AVI-131-002

Affaire suivie par :

CERTA

Objet : Vulnérabilité de WU-FTPD

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Déni de service.

2 Systèmes affectés

Les versions 2.6.1 et 2.6.2 du logiciel WU-FTPD.

Des versions antérieures peuvent être affectées.

3 Description

WU-FTPD est le serveur FTP de l'université de Washington.

Lorsqu'un utilisateur malicieux distant se connecte à un serveur FTP mis en œuvre par une version non corrigée de WU-FTPD, il peut lancer la commande ls avec des paramètres astucieusement construits. Ceci aura pour effet de consommer toute la puissance de calcul du serveur, le rendant ainsi inaccessible aux requêtes légitimes.

4 Contournement provisoire

Ne pas laisser les utilisateurs qui ne sont pas dignes de confiance accéder au site WEB.

5 Solution

Certaines distributions ont fourni un correctif qu'il convient d'appliquer.

6 Documentation

• Le site WEB du projet WU-FTPD :

  http://www.wu-ftpd.org
  

• Avis de sécurité Debian DSA-705 :

  http://www.debian.org/security/2005/dsa-705
  

• Avis de sécurité FreeBSD :

  http://www.vuxml.org/freebsd/pkg-wu-ftp.html
  

• Avis de sécurité Sun #101699 du 25 mai 2005 :

  http://sunsolve.sun.com/search/document.do?assetkey=1-26-101699-1
  

• Bulletin de sécurité Avaya ASA-2005-126 du 06 juin 2005 :

  http://support.avaya.com/elmodocs2/security/ASA-2005-126_SUN-5-20-2005.pdf
  

Gestion détaillée du document

12 avril 2005

version initiale ;

03 juin 2005

ajout référence au bulletin de sécurité de Sun ;

17 juin 2005

ajout bulletin de sécurité Avaya ASA-2005-126.