En fait il y a plusieurs versions O.96.
Depusi que le paquet est sur sourceforge il a été modifié tout en gardant le même numéro de version !!!
Il y a donc dans la nature des plusieurs versions 0.96 tout a fait vulnérable et ce d'autant plus que la dernière version l'est toujours !!!
diff -uNr pureftpd-0.96a/pure-ftpd-0.96/README pureftpd-0.96b/pure-ftpd-0.96/README
--- pureftpd-0.96a/pure-ftpd-0.96/README Thu Mar 15 19:56:19 2001
+++ pureftpd-0.96b/pure-ftpd-0.96/README Fri Mar 16 09:41:56 2001
@@ -9,9 +9,10 @@
Pure-FTPd is a fast, production-quality, standard-conformant FTP server,
based upon Troll-FTPd.
-Unlike other popular FTP servers, it has no known security flaw, it is
-really trivial to set up and it is especially designed for modern Linux
-kernels (setfsuid, sendfile, capabilities) .
+Unlike other popular FTP servers, it's designed to be secure in default
+configuration, has no known buffer overflow, it is really trivial to set up
+and it is especially designed for modern Linux kernels (setfsuid, sendfile,
+capabilities) .
Features include PAM support, IPv6, chroot()ed home directories, virtual
domains, built-in 'ls', anti-warez system, bounded ports for passive
Le fichier le plus critique (src/ls.c) est bien sur modifié au passage.
Pour quelqu'un qui ce dit être expert en sécurité je trouve le comportement injustifiable !
1) Il annonce publiquement sur divers forums publiques toute la méthodologie pour faire planter les serveurs FTP des concurrants en annoncant que le sien est nickel sans laisser le temps aux concurrents de produire un patch.
2) Il joue l'outragé lorsque en réponse de son comportement immature les équipes concurrentes annonce publiquement les failles de son logiciel.
3) Constatant que sa version de pure-ftpd qu'il croyait être exempte de bogue l'est finalement tout autant que les autres il tente de maquiller ce fait en releasant des versions différentes ayant le même numéro de version !!!
Je croyais Frank DENIS être une personne fort respectable et compétente. Or suite à la comédie qu'il joue depuis son annonce il vient de chuter définitivement dans mon estime.
[^] # Re: mdr!
Posté par Christophe Merlet (site web personnel) . En réponse à la dépêche Vulnerabilite ProFTPd/BSD FTPd. Évalué à 1.
Depusi que le paquet est sur sourceforge il a été modifié tout en gardant le même numéro de version !!!
Il y a donc dans la nature des plusieurs versions 0.96 tout a fait vulnérable et ce d'autant plus que la dernière version l'est toujours !!!
Pour prouver mes dires voici un extrait du patch ( http://christophe.merlet.free.fr/GNU-Linux/mdr/pureftpd-0.96-mdr.pa(...) ) entre la version du 16 mars à 07h12 et celle du 16 mars 19h15 (au décalage horaire prés) :
diff -uNr pureftpd-0.96a/pure-ftpd-0.96/README pureftpd-0.96b/pure-ftpd-0.96/README
--- pureftpd-0.96a/pure-ftpd-0.96/README Thu Mar 15 19:56:19 2001
+++ pureftpd-0.96b/pure-ftpd-0.96/README Fri Mar 16 09:41:56 2001
@@ -9,9 +9,10 @@
Pure-FTPd is a fast, production-quality, standard-conformant FTP server,
based upon Troll-FTPd.
-Unlike other popular FTP servers, it has no known security flaw, it is
-really trivial to set up and it is especially designed for modern Linux
-kernels (setfsuid, sendfile, capabilities) .
+Unlike other popular FTP servers, it's designed to be secure in default
+configuration, has no known buffer overflow, it is really trivial to set up
+and it is especially designed for modern Linux kernels (setfsuid, sendfile,
+capabilities) .
Features include PAM support, IPv6, chroot()ed home directories, virtual
domains, built-in 'ls', anti-warez system, bounded ports for passive
Le fichier le plus critique (src/ls.c) est bien sur modifié au passage.
Pour quelqu'un qui ce dit être expert en sécurité je trouve le comportement injustifiable !
1) Il annonce publiquement sur divers forums publiques toute la méthodologie pour faire planter les serveurs FTP des concurrants en annoncant que le sien est nickel sans laisser le temps aux concurrents de produire un patch.
2) Il joue l'outragé lorsque en réponse de son comportement immature les équipes concurrentes annonce publiquement les failles de son logiciel.
3) Constatant que sa version de pure-ftpd qu'il croyait être exempte de bogue l'est finalement tout autant que les autres il tente de maquiller ce fait en releasant des versions différentes ayant le même numéro de version !!!
Je croyais Frank DENIS être une personne fort respectable et compétente. Or suite à la comédie qu'il joue depuis son annonce il vient de chuter définitivement dans mon estime.