Web – Una grave falla di sicurezza presente in uno dei server FTP open source più diffusi nel mondo Unix/Linux, WU-FTPD , negli scorsi giorni ha lasciato parecchi siti vulnerabili ai cracker. La situazione è stata per giunta aggravata dal fatto che Red Hat ha inavvertitamente divulgato dettagli sulla falla quando ancora molti produttori non avevano una patch pronta.
Produttori ed esperti di sicurezza, in comune accordo, avrebbero infatti dovuto divulgare informazioni sulla vulnerabilità soltanto il 3 dicembre ma, per un clamoroso errore, il 27 novembre Red Hat ha pubblicato, insieme ad una patch, i dettagli sul baco.
In seguito alla gaffe di Red Hat gli altri produttori hanno dovuto precipitosamente accelerare il processo di sviluppo e testing di una patch che mettesse fine al grave problema.
La falla, chiamata “WU-FTPD Globbing Heap Corruption Vulnerability” e scoperta il 14 novembre da Core Security Technologies, interessa un cospicuo numero di distribuzioni Linux, fra cui quelle di Caldera, Conectiva, MandrakeSoft, Red Hat, Turbolinux, SuSE e Debian. Gli esperti sostengono che i server a rischio sarebbero numerosi ma che, per fortuna, tutti i produttori hanno lavorato alacremente per rilasciare una patch nel tempo più breve possibile.
Secondo SecurityFocus, il bug può consentire ad un assalitore di eseguire sulla macchina remota codice arbitrario, guadagnando di conseguenza l’accesso a tutti i file presenti sul server. Se l’accesso FTP anonimo non è attivato, il cracker necessiterà però di un account valido. Per maggiori informazioni è possibile consultare il bollettino di sicurezza di BugTraq.
Ti potrebbe interessare
30 nov 2001