Onderwerp: Groot lek in ProFTPd; update noodzakelijk

Wat DA te mailen had:

A recent update for proftpd has been released which will resolve an important security issue. It's highly recommended that all admins update their systems to proftpd version 1.3.3c.
Some reading indicated to me that the issue was introduced in 1.3.2rc3 (not confirmed), so previous versions might not be affected, but upgrading anyway is still highly recommended.

Release notes on 1.3.3c:
http://www.proftpd.org/docs/RELEASE_NOTES-1.3.3c

There are a few methods to update, the simplest being custombuild:

Code:

cd /usr/local/directadmin/custombuild
./build update
./build set proftpd yes
./build proftpd

Another way is to compile from source:
http://help.directadmin.com/item.php?id=82

Related thread for updating:
ProFTPD 1.3.3c released - DirectAdmin Forums

Ik heb inmiddels via de custombuild geupdated :-)

Was hier ook al gemeld
Start topic Plesk, verder ook uitleg over DA. Maar toch bedankt

Hier draait overigens al een tijdje 1.3.3.C.

Oorspronkelijk geplaatst door ichosting

Was hier ook al gemeld
Start topic Plesk, verder ook uitleg over DA. Maar toch bedankt

Hier draait overigens al een tijdje 1.3.3.C.

Plesk = Plesk, en DA = DA.

Anders lopen de discussies door elkaar, gescheiden houden lijkt me beter gezien beiden een andere manier van updaten zullen hebben.

Ben met je eens dat het 2 verschillende panelen zijn, maar het gaat in hoofdzaak om PROFTPD en niet om Plesk of DA. Deze hebben enkel updates uitgebracht waarmee je snel kunt updaten.

De titel had wel iets anders mogen zijn van het vorige topic. Mee eens.

Oorspronkelijk geplaatst door Aar

Plesk = Plesk, en DA = DA.

Anders lopen de discussies door elkaar, gescheiden houden lijkt me beter gezien beiden een andere manier van updaten zullen hebben.

Maar het gaat om proftpd en dat is geen Plesk en geen DA

Misschien dat de topics samen gevoegd kunnen worden tot één en dan met de title "Aanbevolen: ProFTP z.s.m. upgraden"

Ik zelf houd eigenlijk veel de DA-categorie in de gaten en niet de Plesk-categorie. En als ze dan samen worden gevoegd, dan zie ik het niet meer zo snel Dus why..

Directadmin heeft sowieso al een mailing via hun announce eruit gedaan, dus de klanten die hierop ingeschreven staan zullen hem sowieso krijgen.

Zie ook: [ame="http://www.directadmin.com/forum/showthread.php?t=18272"]da-announce mailing list - DirectAdmin Forums[/ame]

Ja alleen wat aan de late kant. Mailing kwam pas vandaag aan.
De 1.3.3.c draait al een paar dagen hier door een automatische update van custombuild.

@Dreamhost: Omdat het al apart in Plesk stond maar ook van toepassing is voor DA en Cpanel is het beter het in die secties ook te vermelden. Wil je ze samenvoegen is dat misschien zelfs een betere optie maar zou het tevens verhuist moeten worden naar een andere sectie, bijv. technische problemen of unix/linux dan is iedereen gewaarschuwd.
Het gaat immers om proftpd en die draait wel op meer dan alleen systemen met panels.

Dus zo gezien is het geen slecht idee in de toekomst bij zoiets een algemeen waarschuwingstopic ergens te maken (of er naar toe te moven).

Apart, vannacht is mijn server wezen rebooten, om een halfuurtje niks van zich te laten horen (om 1:06) ? Wel apart dat gebeurde na een herstart van proftpd die ik gisteren geupdated heb?

Code:

2010:11:13-00:10:47: Tally All Begin
2010:11:13-00:11:01: Tally Reseller admin Begin
2010:11:13-00:11:01: Tally User *** Begin
2010:11:13-00:12:17: Tally User *** Complete
2010:11:13-00:12:17: Tally User admin Begin
2010:11:13-00:12:18: Tally User admin Complete
2010:11:13-00:12:18: Tally Reseller admin Complete
2010:11:13-00:12:18: Tally All Complete
2010:11:13-00:13:11: httpd restarted
2010:11:13-01:06:01: signal TERM received. Waiting for children to exit
2010:11:13-01:06:01: Clean shutdown successful
2010:11:13-01:06:04: directadmin started
2010:11:13-01:06:14: proftpd started
2010:11:13-01:06:21: signal TERM received. Waiting for children to exit
2010:11:13-01:06:21: Clean shutdown successful
2010:11:13-01:06:26: sshd started
2010:11:13-01:38:10: named started
2010:11:13-01:46:01: Running Backup: type=admin owner=admin id=(null)

How come?

Edit: Systemlog zelf heeft het over een server HALT, dus ik denk iets aan de hosting.
Heb daar ticket in gediend inmiddels.

Ik neem aan dat niet iedereen staat te wachten totdat DA / Plesk je eens laat weten dat er een security issue is, anders loop je toch al 2 weken achter

ProFTPD Compromise Report

On Sunday, the 28th of November 2010 around 20:00 UTC the main
distribution server of the ProFTPD project was compromised. The
attackers most likely used an unpatched security issue in the FTP daemon
to gain access to the server and used their privileges to replace the
source files for ProFTPD 1.3.3c with a version which contained a backdoor.
The unauthorized modification of the source code was noticed by
Daniel Austin and relayed to the ProFTPD project by Jeroen Geilman on
Wednesday, December 1 and fixed shortly afterwards.

The fact that the server acted as the main FTP site for the ProFTPD
project (ftp.proftpd.org) as well as the rsync distribution server
(rsync.proftpd.org) for all ProFTPD mirror servers means that anyone who
downloaded ProFTPD 1.3.3c from one of the official mirrors from 2010-11-28
to 2010-12-02 will most likely be affected by the problem.

The backdoor introduced by the attackers allows unauthenticated users
remote root access to systems which run the maliciously modified version
of the ProFTPD daemon.

Users are strongly advised to check systems running the affected code for
security compromises and compile/run a known good version of the code.
To verify the integrity of the source files, use the GPG signatures
available on the FTP servers as well on the ProFTPD homepage at:

http://www.proftpd.org/md5_pgp.html.

The MD5 sums for the source tarballs are:

8571bd78874b557e98480ed48e2df1d2 proftpd-1.3.3c.tar.bz2
4f2c554d6273b8145095837913ba9e5d proftpd-1.3.3c.tar.gz

The PGP signatures for the source tarballs are:

proftpd-1.3.3c.tar.bz2:

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.9 (GNU/Linux)

iEYEABECAAYFAkzLAWYACgkQt46JP6URl2qu3QCcDGXD+fRPOd KMp8fHyHI5d12E
83gAoPHBrjTFCz4MKYLhH8qqxmGslR2k
=aLli
-----END PGP SIGNATURE-----

proftpd-1.3.3c.tar.gz:

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.9 (GNU/Linux)

iEYEABECAAYFAkzLAW0ACgkQt46JP6URl2ojfQCfXy/hWE8G5mhdhdLpaPUZsofK
pO8Anj+uP0hQcn1E/CEUddI0mezlSCmg
=e8el
-----END PGP SIGNATURE-----

The PGP key of TJ Saunders has been used to sign the source tarballs;
it is available via MIT's public keyserver.

U bent gewaarschuwd....

lekker

Leuk voor iedereen die de afgelopen dagen de nieuwste versie heeft gedownload. Op security.nl staat het bericht ook: http://security.nl/artikel/35323/1/H...n_ProFTPD.html

Oorspronkelijk geplaatst door Patrick_st

Leuk voor iedereen die de afgelopen dagen de nieuwste versie heeft gedownload. Op security.nl staat het bericht ook: http://security.nl/artikel/35323/1/H...n_ProFTPD.html

Degenen die netjes hebben geupdate in de week nadat het uit kwam hebben dus geen last.

Eigenlijk had je beter een nieuw topic kunnen openen:

Directadmin installaties gedaan tussen 28/11 en 2/12 hebben hoogstwaarschijnlijk een trojan, zie:
http://security.nl/artikel/35323/1/H...n_ProFTPD.html

Zoiets in ieder geval.