En effet. Toujours est-il que c'était avant la version 1.0, et que c'était un problème de déni de service, pas un exploit ou autre trou de sécurité.
Ce problème venant de la couche inférieure (la libc), je vois mal comment pure-ftpd aurait pu s'en prévenir, sauf à éviter l'utilisation de la libc pour cette fonctionnalité.
Désormais, on a le choix à la compilation:
soit on utilise le glob de la libc, soit on utilise le glob spécial pure-ftpd. On peut dans le dernier cas fixer une limite de récursion.
Une des fonctionnalités que je trouve vraiment géniale (peut-être n'est-ce pas exclusif à pure-ftpd), c'est le système d'utilisateurs FTP virtuels, avec système à la /etc/passwd, avec adduser, usermod, quota virtuels, chroot, etc...
On peut préciser l'ordre de recherche des utilisateurs (UNIX /etc/passwd, utilisateur virtuels PureDB, PAM, mysql, et les désactiver de façon sélective.
On peut générer des logs au format CLF (type Apache), pour profiter des nombreux outils de traitement de logs disponibles.
Comme je m'efforce de le faire comprendre à chaque fois, c'est le meilleur serveur FTP à mon sens, et de très loin.
L'essayer, c'est l'adopter ! (tm)
[^] # Re: La sécurité avant tout
Posté par bmc . En réponse à la dépêche nouvelle version de pure-ftpd ( pure-ftpd 1.0.4 ). Évalué à 10.
Ce problème venant de la couche inférieure (la libc), je vois mal comment pure-ftpd aurait pu s'en prévenir, sauf à éviter l'utilisation de la libc pour cette fonctionnalité.
Désormais, on a le choix à la compilation:
soit on utilise le glob de la libc, soit on utilise le glob spécial pure-ftpd. On peut dans le dernier cas fixer une limite de récursion.
Une des fonctionnalités que je trouve vraiment géniale (peut-être n'est-ce pas exclusif à pure-ftpd), c'est le système d'utilisateurs FTP virtuels, avec système à la /etc/passwd, avec adduser, usermod, quota virtuels, chroot, etc...
On peut préciser l'ordre de recherche des utilisateurs (UNIX /etc/passwd, utilisateur virtuels PureDB, PAM, mysql, et les désactiver de façon sélective.
On peut générer des logs au format CLF (type Apache), pour profiter des nombreux outils de traitement de logs disponibles.
Comme je m'efforce de le faire comprendre à chaque fois, c'est le meilleur serveur FTP à mon sens, et de très loin.
L'essayer, c'est l'adopter ! (tm)