S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 26 octobre 2009 No CERTA-2009-AVI-456

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans ProFTPD

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Contournement de la politique de sécurité.

2 Systèmes affectés

ProFTPD versions antérieures à 1.3.2b.

3 Résumé

Une vulnérabilité dans ProFTPD permet à une personne malintentionnée de contourner la politique de sécurité.

4 Description

Une vulnérabilité dans le traitement de certificats SSL par le module mod_tls de ProFTPD permet à une personne malintentionnée de contourner la politique de sécurité. Ceci peut être exploité par un client pour falsifier un certificat SSL en incluant un caractère NULL dans le champ subjectAltName du certificat.

5 Solution

La version 1.3.2b de ProFTPD corrige le problème.

6 Documentation

• Rapport de bogue ProFTPD #3275

  http://bugs.proftpd.org/show_bug.cgi?id=3275
  

• Référence CVE CVE-2009-3639 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3639
  

Gestion détaillée du document

26 octobre 2009

version initiale.