home *** CD-ROM | disk | FTP | other *** search
/ Linux Cubed Series 7: Sunsite / Linux Cubed Series 7 - Sunsite Vol 1.iso / system / network / file-tra / wu-ftpd-.4-f < prev    next >
Encoding:
Text File  |  1996-11-17  |  1.7 KB  |  49 lines
  1. README.SECURITY.FIX
  2. June 3, 1995 16:00 EST
  3.  
  4.  
  5.     On June 2, 1995, Australian CERT announced that some Linux 
  6.     distribution may have a problem with pre-compiled binaries 
  7.     of the Washington University FTP Server Version 2.4
  8.  
  9.     It appears that Slackware 2.0-2.3, Yggdrasil  Plug&Play (Fall 94),
  10.     Debian Distribution and probably a lot of others are/were shipped
  11.     with the misconfigured ftp server. Unfortunately, such 
  12.     misconfiguration made the ftp server a subject to attacks that allowed
  13.     any user of a system to gain the root access.
  14.  
  15.     This version of the Washington University FTP server is correctly
  16.     configured to prevent such attacks. I also cleaned the Makefile 
  17.     in the support/ subdirectory so it compiles cleanly under Linux.
  18.     This version was created from the source code of the wu.ftpd 2.4
  19.     patched using wu-ftpd-2.4.patch.gz
  20.     
  21.  
  22.     CONFIGURING wu.ftpd 2.4 FOR SYSTEMS WITH AND WITHOUT SHADOW
  23.  
  24.         By default, this wu.ftpd will be build with a shadow
  25.         password support. If your system does not have shadow
  26.         passwords (I do recommend you to get it), copy the file
  27.         src/config/config.lnx.no-shadow into src/config/config.lnx
  28.  
  29.  
  30.     CORRECTING PATHNAMES
  31.  
  32.         If you would like to place your files in different places,
  33.         edit src/pathnames.h. 
  34.  
  35.         WARNING: THE VULNERABLE CONFIGURATION WAS CREATED BY
  36.              SPECIFYING /bin IN THE _PATH_EXECPATH. MAKE SURE
  37.              THAT THE DIRECTORY SPECIFIED IN _PATH_EXEC PATH
  38.              IS WRITE-PROTECTED FROM USERS AND ALL PROGRAMS
  39.              IN THAT DIRECTORY ARE "AWARE" OF BEING EXECUTED
  40.              WITH UID/GID 0 WHILE RESTRICTED WITH EUID/EGID!
  41.  
  42.  
  43.  
  44.              For more information please see Linux Security WWW
  45.               http://bach.cis.temple.edu/linux/linux-security/
  46.  
  47.  
  48.             Alexander O. Yuriev <alex@bach.cis.temple.edu>
  49.