Scientific Linux 安全更新:SL5.x i386/x86_64 中的 lftp

medium Nessus 插件 ID 60654

简介

远程 Scientific Linux 主机缺少安全更新。

描述

CVE-2007-2348 lftp mirror --script 未转义符号链接的名称和目标。

已发现 lftp 在使用“mirror--script”命令生成 shell 脚本时未正确转义 shell 元字符。为从恶意 FTP 服务器下载文件而生成的镜像脚本可允许攻击者控制 FTP 服务器,从而以运行 lftp 的用户的身份运行任意命令。
(CVE-2007-2348)

此更新还修复以下缺陷:

- 通过“-c”选项使用“mirror”或“get”命令时,lftp 未检查某些可导致程序失去响应、挂起和命令未完成的特定条件。例如,等待目录清单时,如果 lftp 接收到代表空目录的“226”消息,则其会过早地忽略该消息并继续等待。通过此更新,这些情况会得到正确检查,将“-c”与“mirror”或“get”一起使用时,lftp 不再挂起。(BZ#422881)

- 在安全 FTP (SFTP) 上使用“put”、“mput”或“reput”命令时,指定“-c”选项有时会导致大小不正确的文件遭到损坏。
通过此更新,在 SFTP 上通过“-c”选项使用这些命令将按预期方式工作,传输的文件不会再在传输过程中遭到损坏。
(BZ#434294)

- 以前,LFTP 链接到 OpenSSL 库。
但是,OpenSSL 的许可证与 LFTP 的 GNU GPL 许可证不兼容,并且 LFTP 不包括允许 OpenSSL 链接的例外。通过此更新,LFTP 将链接到根据 GNU LGPL 许可证发布的 GnuTLS(GNU 传输层安全)库。和 OpenSSL 一样,GnuTLS 实现 SSL 和 TLS 协议,因此功能未变更。(BZ#458777)

- 从 lftp 内运行“help mirror”仅会显示一部分可用选项,而不是手册页中显示的完整列表。通过此更新,在 lftp 中运行“help mirror”将显示与 mirror 选项相同的列表,可在 lftp 手册页的“命令”部分中获得此列表。(BZ#461922)

- LFTP 从上游导入 gnu-lib。在 gnu-lib 从 GNU GPLv2 切换到 GNU GPLv3 之后,LFTP 许可证在内部不一致,LFTP 被许可为 GNU GPLv2,但程序包的一部分明显被许可为 GNU GPLv3,原因是由 gnu-lib 导入所做的变更。通过此更新,LFTP 自行切换到 GNU GPLv3,从而解决不一致的情况。(BZ#468858)

- 在 lftp 内使用“ls”命令以显示通过 HTTP 连接的远程系统上的文件列表时,包含空格的文件名的显示方式不正确。此更新修正了此行为。
(BZ#504591)

- 默认别名“edit”未定义默认编辑器。如果系统未提前设置 EDITOR,lftp 会尝试执行“~/.lftp/edit.tmp.$$”(因文件未被设置为可执行而失败)。edit 别名也不支持文件名的 tab 完成,并且错误地解释了包含空格的文件名。更新后的程序包在缺少系统定义的 EDITOR 时定义默认编辑器 (vi)。edit 别名现在支持 tab 完成,并且正确地处理了包含空格的文件名的下载和上传。(BZ#504594)

注意:此更新将 LFTP 从版本 3.7.3 升级至上游版本 3.7.11,其中包含上述缺陷补丁以外的一系列缺陷补丁。有关这些补丁的详细信息,请在安装此更新后参阅“/usr/share/doc/lftp-3.7.11/NEWS”文件。
(BZ#308721)

解决方案

更新受影响的 lftp 程序包。

另见

https://bugzilla.redhat.com/show_bug.cgi?id=308721

https://bugzilla.redhat.com/show_bug.cgi?id=422881

https://bugzilla.redhat.com/show_bug.cgi?id=434294

https://bugzilla.redhat.com/show_bug.cgi?id=458777

https://bugzilla.redhat.com/show_bug.cgi?id=461922

https://bugzilla.redhat.com/show_bug.cgi?id=468858

https://bugzilla.redhat.com/show_bug.cgi?id=504591

https://bugzilla.redhat.com/show_bug.cgi?id=504594

http://www.nessus.org/u?d5d0cc86

插件详情

严重性: Medium

ID: 60654

文件名: sl_20090902_lftp_on_SL5_x.nasl

版本: 1.6

类型: local

代理: unix

发布时间: 2012/8/1

最近更新时间: 2021/1/14

支持的传感器: Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.9

CVSS v2

风险因素: Medium

基本分数: 6.8

矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P

漏洞信息

CPE: x-cpe:/o:fermilab:scientific_linux

必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

补丁发布日期: 2009/9/2

漏洞发布日期: 2007/4/27

参考资料信息

CVE: CVE-2007-2348