Proftpd: Manipulierte Version wurde verbreitet

Sicherheitslücken TJ Saunders, ein Entwickler von Proftpd, hat sich zu diesem Thema näher über die offizielle Mailingliste geäußert. Seinen Angaben zufolge ereignete sich am 28. November ein Einbruch am eingesetzten Hauptserver des Projekts. mehr...

Diese Nachricht vollständig anzeigen.

Jetzt einen Kommentar schreiben
 
Nutzt das wer?
 
@eAndy: Früher fand ich proftpd mit gproftpd ganz jut, seit aber >5 lieb ich vsftpd auch ohne Frontend :)
 
@eAndy: Es geht hier um einen FTP-Server nicht um einen Client und den nutzen relativ viele Linux Server...
 
und das zeigt doch das selbst open source nicht sicher ist ;)
 
@stadtschreiber: bei einem update bekommt das Programm sogar noch root Rechte. Jeder kann sich ausmalen was passieren kann,...
 
@stadtschreiber: Der Vorgang war: Einbruch auf einen Server und Archive gegen manipulierte auswechseln. Jetzt stell Dir das mal bei closed Source vor: Einbruch auf einen Server, und dann gegen manipulierte closed Source Binarys austauschen. Ob das auch so schnell auffliegen würde, wie beim Proftpd Projekt? Da ist es ja nicht so, das Windows Mecker machen würde, denn es kann schließlich gar keine Checksummen von distfiles überprüfen, wie das bei Source basierenden Systemen wie etwa Portage der Fall ist.
 
@stadtschreiber: Und was hat schlampige Administration mit der Sicherheit von Open Source zu tun? Wär ja nicht so als wenn nie jemand bei MS eingebrochen wäre z.B. vor paar Monaten ins Testlabor oder ganz witzig... Server ohne Passwort: http://www.heise.de/newsticker/meldung/Microsoft-Hack-durch-fehlendes-Server-Passwort-erleichtert-39508.html
 
Da müssen die "Einbrecher" aber schon mal vor dem Codeaustausch "eingebrochen" sein, um sich den Orginalcode abzugreifen. Es ist bestimmt sehr sehr schwierig, einen unbekannten Quellcode eben mal an der richtigen Stelle um eine Backdoor zu erweitern.
 
@drhook: Meinst du das ernst? Das Programm ist Open-Source, d. h. jeder kann sich den kompletten Quellcode runterladen, ansehen und bearbeiten.
 
@Hu: Pardon, ich hätte vorher mal "Proftpd" bingen müssen.
 
@drhook: Oder die News lesen?
 
Ich hoffe ja, dass nicht mal in ein Linux Repository eingebrochen wird. Da wäre der Schaden vermutlich imens.
 
@unknowen: ich würd lachen :D - am besten wäre es wenn schadcode in den kernel eingebaut wird - der ist eh nur ein haufen zusammengewürfelter code der dringend überarbeitet gehört
 
@Ludacris: Da spricht wohl der Experte. Wieviele Kernel hast du denn schon entwickelt? :)
 
@root_tux_linux: gegenfrage: wie viele hast du entwickelt? bei mir ists zmd ein unikoider mikrokernel den ich entwickelt habe...
 
@Ludacris: "Unikoider" tolles Fantasie hast du. Stimmt ja, im WF treiben sich super Coder rum die besser sind als die Devs von Intel, Oracle, IBM, HP, SGI, SUN etc. ;)
 
@root_tux_linux: hab ich je gesagt, dass ich ein soooo toller coder bin? ich hab vor nem Jahr bei nem projekt in der schule nen kernel gemacht - allerdings eben nur nen kernel sonst nichts und so nebenbei - ich hab mich vertippt - es sollte unixoid heißen (sprich UNIX ähnlich)
 
@unknowen: Die Pakete in Repositorys sind üblicherweise signiert.
 
@boofh: Wenn man aber den Weg über die einzelenen Projekte nimmt, dürfte es nicht unmöglich sein. z.B.: so wie hier wird der Source-Code infiziert, niemand sieht sich den gesamten Code nochmal an, das Paket wird erstellt, siginiert, und schon ist eine schadhafte Anwednung im eigentlich als sicher geltenden Repository eingeschleust.
 
@unknowen: Schauen wir uns doch mal die History vom Proftpd Projekt an: am 29. Oktober wurde die Version 1.3.3c released, die Manipulation der Proftpd 1.3.3c Source Archive auf dem Downloadserver ist am 28. November um etwa 20:00 Uhr passiert. Am 1. Dezember wurde es bemerkt und behoben. Ob die Paketierer wohl wirklich einen ganzen Monat warten, bevor sie Pakete erstellen? Diese OpenSource Maintainer sind meist unverschämt schnell. Die Eindringlinge sind eher langsamer. Bevor die Eindringlinge was angestellt haben, sind die korrekten Hashsummen für die Source Archive schon bei den Maintainern bekannt. Jetzt stell Dir aber mal vor, zum Beispiel der Realtek Audio Driver für Windows würde hier auf dem Winfuture Downloadserver manipuliert, wie lange würden da völlig unbemerkt manipulierte Windows Binarys verteilt? Hashsummen benutzt da keiner. Gab es etwa irgendwelche Unregelmäßigkeiten beim Winfuture Server in letzter Zeit?
 
Hab mal wieder ne konstruktive Kritik für das WinFuture-Team: 1. heißt das ProFTPd, dann ist es nämlich auch wesentlich einfacher zu lesen. 2. das ist nun wirklich keine Software, die ein Standard-Windows-User kennt, von daher, währen die drei Wörter "ein FTP-Server" in einem Nebensatz sinnvoll ;)...
 
@Lofote: Oder man liest die News richtig? Zitat: "Allen Anwendern wird aus diesem Grund empfohlen, die aktuelle und angepasste Version des FTP-Servers zu installieren. "
Kommentar abgeben Netiquette beachten!

Video-Empfehlungen

WinFuture Mobil

WinFuture.mbo QR-Code Auch Unterwegs bestens informiert!
Nachrichten und Kommentare auf
dem Smartphone lesen.