Как обновить ProFTPD в ubuntu 12.04 до последней версии?

[php437]

Здравствуйте. Поскольку в ProFTPD 1.3.5 и, возможно, более ранних версиях обнаружилась дыра (взломали один из моих серверов, https://habrahabr.ru/post/257027/), есть намерение обновить ProFTPD на всех машинах, однако на одном из серверов штатными средствами не получается. Используется ubuntu 12.04, обновить всю систему пока не могу. Как принудительно обновить FTP сервер до последних версий?

[salvador]

Можно попробовать собрать из исходников новый пакет.

Вообще-то 12.04 еще поддерживается, просто обновите пакет через apt и проверьте на наличие уязвимости. По идее canonical должны делать багфиксы.

[bukass]

php437,

http://bugs.proftpd.org/show_bug.cgi?id=4169

mod_copy включён разве у тебя???

[salvador]

php437, у вас 100% уверенность, что сервер был взломан именно через ProFTPD?

[php437]

php437, http://bugs.proftpd.org/show_bug.cgi?id=4169
mod_copy включён разве у тебя???

А как это узнать?
Пользователь добавил сообщение 17 Января 2017, 12:17:26:

php437, у вас 100% уверенность, что сервер был взломан именно через ProFTPD?

Да, 100%. Ubuntu 14.04.5, которая давно не обновлялась. Сейчас обновил, версия proftpd стала 1.3.5~rc3.
Пользователь добавил сообщение 17 Января 2017, 12:19:40:

Вообще-то 12.04 еще поддерживается, просто обновите пакет через apt и проверьте на наличие уязвимости. По идее canonical должны делать багфиксы.

Обновил. Версия 1.3.4a-1ubuntu. Пока не придумал ничего лучше, как убрать вывод версии при подключении к ftp. Но роботов это разве остановит?

[salvador]

Обновил. Версия 1.3.4a-1ubuntu. Пока не придумал ничего лучше, как убрать вывод версии при подключении к ftp. Но роботов это разве остановит?

Ну и все, не нужно волноваться. Эту версию пропатчили. Читайте Changelog к этому пакету.

Если проблема остается, то значит уязвимости в системе либо остались - либо не все почищено.

[php437]

Ну и все, не нужно волноваться. Эту версию пропатчили. Читайте Changelog к этому пакету.

Вы точно уверены, что в ProFTPD 1.3.4a-1ubuntu эта ошибка исправлена? Не могли бы Вы дать ссылку на информацию?

[salvador]

Попробуйте набрать а рутовом shell:
aptitude changelog package-name

[php437]

Отлично! Спасибо Brian Morton за апдейт и Вам лично за мое душевное спокойствие.

Код: [Выделить]

proftpd-dfsg (1.3.4a-1ubuntu0.1) precise-security; urgency=low

  * SECURITY UPDATE: The mod_copy module in ProFTPD 1.3.4a allows remote
    attackers to read and write to arbitrary files via the site cpfr and
    site cpto commands. (LP: #1462311)
    - debian/patches/CVE-2015-3306.patch: adjust contrib/mod_copy.c to
      check authentication status. Based on upstream patch.
    - CVE-2015-3306

[salvador]

php437, пожалуйста, обращайтесь.

[AnrDaemon]

Не проще удалить и не пользоваться?…

[salvador]

Не проще удалить и не пользоваться?…

Все верно, ftp без ssl защиты и без защиты от перебора пароля - это не очень хорошо. Но зато прикрыта большая дыра и достаточно оперативно.

Отказ от ftp займет какое-то время.