Scientific Linux 安全更新：SL4.x i386/x86_64 中的 vsftpd

high Nessus 插件 ID 60456

语言：

简介

远程 Scientific Linux 主机缺少安全更新。

描述

与可插拔认证模块 (PAM) 结合使用时，Red Hat Enterprise Linux 4 随附的 vsftpd 版本在进行无效认证尝试时存在内存泄露。由于 2.0.5 版之前的 vsftpd 对于同一连接不限制无效尝试次数，此内存泄露缺陷可能最终导致 DoS。
(CVE-2008-2375)

此更新通过包含可在指定尝试登录失败次数后终止会话的向后移植修补程序，缓解了此安全问题。默认尝试 3 次，可使用“max_login_fails”指令配置次数。

此程序包还解决了以下缺陷：

- 上传唯一文件时，vsftpd 中的一个缺陷造成此文件以后缀“.1”保存，即使之前不存在具有此名称的文件。此问题已在此程序包中得到解决。

- 当 vsftpd 通过 init 脚本运行时，init 脚本可打印“OK”消息，即使 vsftpd 可能尚未启动。此更新的 init 脚本不再产生虚假验证。

- vsftpd 仅支持最大长度为 32 个字符的用户名。更新后的程序包现在支持最大长度为 128 个字符的用户名。

- 一个系统缺陷意味着 vsftpd 输出可依赖于其他事件的时序或序列，即使设置了“lock_upload_files”选项。如果一个文件（filename.ext）正在上传，且该文件（filename.ext）的第二次传输在第一次传输完成之前开始，则上传的文件是后面的上传和较早上传的末尾的损坏的串接。通过此更新后的程序包，vsftpd 允许较早的上传在用后面的上传进行覆盖之前完成，从而修复了此问题。

- 未在手册页中对“lock_upload_files”选项进行记录。此程序包中包含描述此选项的新手册页。

- vsftpd 不支持以下划线或句点字符开头的用户名。现在允许在用户名的开头使用这些特殊字符。

- 存储唯一文件时，vsftpd 可造成某些客户端出错。此问题已在此程序包中得到改正。

- 已发现 vsftpd init 脚本不符合 Linux Standards Base。此更新修正了其退出代码以遵守标准。