对当前上游稳定版本的此更新包括一对安全补丁：

- 针对 SSLv3/TLSv1 BEAST 攻击（上游缺陷 3704）启用 OpenSSL 对策；要禁用此对策（可导致某些客户端出现互操作性问题），请使用 NoEmptyFragments TLSOption

- 响应池释放后使用内存损坏错误（上游缺陷 3711、#752812、ZDI-CAN-1420、CVE-2011-4130），其中，远程攻击者可通过特别构建的请求（导致服务器需要处理异常情况），导致内存损坏并可能以运行 proftpd 服务器的用户的权限执行任意代码

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

在 proftpd 中发现并修复了一个漏洞：

低于 1.3.3g 的 ProFTPD 中响应 API 中的释放后使用漏洞允许经过认证的远程用户通过涉及 FTP 数据传输后所发生错误的矢量执行任意代码 (CVE-2011-4130)。

更新后的程序包已升级到最新版本 1.3.3g，此版本不易受到该问题的影响。

为 Slackware 11.0、12.0、12.1、12.2、13.0、13.1、13.37 和当前版本提供了用于修复安全问题的新 proftpd 程序包。

远程主机受到 GLSA-201309-15 中所述漏洞的影响（ProFTPD：多种漏洞）

在 ProFTPD 中发现多种漏洞。请检查下面引用的 CVE 标识符以了解详细信息。
 影响：

上下文有关的攻击者可能会以进程的权限执行任意代码、执行中间人攻击以欺骗任意 SSL 服务器、造成拒绝服务条件或读取并修改任意文件。
 变通方案：

目前无任何已知的变通方案。

远程主机正在使用 ProFTPD，一款用于 Unix 和 Linux 的免费 FTP 服务器。

根据其标题，远程主机上安装的 ProFTPD 版本低于 1.3.3g 或 1.3.4。由于服务器管理响应池的方式也被用于从服务器将响应传送至客户端，因此可能受到代码执行漏洞的影响。经认证的远程攻击者可利用此问题，以运行受影响应用程序的用户的权限在远程主机上执行任意代码。

请注意，Nessus 未对缺陷进行实际测试，而是依赖 ProFTPD 标题中的版本。

远程 Solaris 系统缺少用于处理安全更新的必要修补程序：

  - 在 1.3.3g 之前的 ProFTPD 中响应 API 中的释放后使用漏洞允许经过身份验证的远程用户通过涉及 FTP 数据传输后所发生错误的矢量执行任意代码。(CVE-2011-4130)

在 FTP 服务器 ProFTPD 中发现数个漏洞：

- (没有 CVE ID) STARTTLS 启用加密后，ProFTPD 仍不正确使用未加密的输入缓冲区数据；此问题类似于 CVE-2011-0411。

- CVE-2011-4130 在某些例外状况下，ProFTPD 在释放了响应池后又使用该池，可能导致执行远程代码。(lenny 中的版本不受此问题影响)。

此 1.3.3 维护分支最新（及最终）版本的更新包含两个安全补丁：

- 针对 SSLv3/TLSv1 BEAST 攻击（上游缺陷 3704）启用 OpenSSL 对策；要禁用此对策（可导致某些客户端出现互操作性问题），请使用 NoEmptyFragments TLSOption

- 响应池释放后使用内存损坏错误（上游缺陷 3711、#752812、ZDI-CAN-1420），远程攻击者可通过特别构建的请求（导致服务器需要处理异常情况）导致内存损坏，并可能以运行 proftpd 服务器的用户的权限执行任意代码

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

在 openSUSE 版本 12.1 的 proftpd 程序包中发现漏洞。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
56896	Fedora 16：proftpd-1.3.4-1.fc16 (2011-15765)	Nessus	Fedora Local Security Checks	2011/11/22	2021/1/11	high
57046	Mandriva Linux 安全公告：proftpd (MDVSA-2011:181)	Nessus	Mandriva Local Security Checks	2011/12/8	2021/1/6	high
57895	Slackware 11.0 / 12.0 / 12.1 / 12.2 / 13.0 / 13.1 / 13.37 / 当前版本：proftpd (SSA:2012-041-04)	Nessus	Slackware Local Security Checks	2012/2/13	2021/1/14	high
70111	GLSA-201309-15：ProFTPD：多种漏洞	Nessus	Gentoo Local Security Checks	2013/9/25	2021/1/6	critical
56894	Fedora 15：proftpd-1.3.4-1.fc15 (2011-15740)	Nessus	Fedora Local Security Checks	2011/11/22	2021/1/11	high
56956	ProFTPD < 1.3.3g / 1.3.4 响应池释放后使用代码执行	Nessus	FTP	2011/11/28	2020/3/27	high
80742	Oracle Solaris 第三方修补程序更新：proftpd (cve_2011_4130_use_after)	Nessus	Solaris Local Security Checks	2015/1/19	2021/1/14	high
56850	Debian DSA-2346-2：proftpd-dfsg - 多个漏洞	Nessus	Debian Local Security Checks	2011/11/16	2021/1/11	high
56895	Fedora 14 : proftpd-1.3.3g-1.fc14 (2011-15741)	Nessus	Fedora Local Security Checks	2011/11/22	2021/1/11	high
74521	openSUSE 安全更新：proftpd (openSUSE-2011-19)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/14	high

检测

插件搜索

high

high

high

critical

high

high

high

high

high

high