リモートの Oracle Linux 5 ホストに、ELSA-2009-1278 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - 3.5.9 より前の lftp のミラー --script が、シェルメタ文字を適切に引用しません。このため、リモートのユーザーの支援を受けた攻撃者が、悪意のあるスクリプトを介してシェルコマンドを実行する可能性があります。注意:  このスクリプトは get などの実行可能ファイルを上書きするコマンドをすでにサポートしているため、この問題がセキュリティ境界を越えるかどうかは明らかではありません。(CVE-2007-2348)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端 Oracle Linux 5 主機中安裝的一個套件受到 ELSA-2009-1278 公告中提及的弱點影響。

  - 在 lftp 3.5.9 之前版本中，mirror --script 未正確引用殼層詮釋字元，這可能允許遠端使用者協助的攻擊者透過惡意指令碼執行殼層命令。注意：該指令碼已支援諸如可覆寫可執行檔的 get 等命令，因此目前尚不清楚此問題是否跨越安全邊界。(CVE-2007-2348)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

An updated lftp package that fixes one security issue and various bugs is now available for Red Hat Enterprise Linux 5.

This update has been rated as having low security impact by the Red Hat Security Response Team.

LFTP is a sophisticated file transfer program for the FTP and HTTP protocols. Like bash, it has job control and uses the readline library for input. It has bookmarks, built-in mirroring, and can transfer several files in parallel. It is designed with reliability in mind.

It was discovered that lftp did not properly escape shell metacharacters when generating shell scripts using the 'mirror
--script' command. A mirroring script generated to download files from a malicious FTP server could allow an attacker controlling the FTP server to run an arbitrary command as the user running lftp.
(CVE-2007-2348)

This update also fixes the following bugs :

* when using the 'mirror' or 'get' commands with the '-c' option, lftp did not check for some specific conditions that could result in the program becoming unresponsive, hanging and the command not completing.
For example, when waiting for a directory listing, if lftp received a '226' message, denoting an empty directory, it previously ignored the message and kept waiting. With this update, these conditions are properly checked for and lftp no longer hangs when '-c' is used with 'mirror' or 'get'. (BZ#422881)

* when using the 'put', 'mput' or 'reput' commands over a Secure FTP (SFTP) connection, specifying the '-c' option sometimes resulted in corrupted files of incorrect size. With this update, using these commands over SFTP with the '-c' option works as expected, and transferred files are no longer corrupted in the transfer process.
(BZ#434294)

* previously, LFTP linked to the OpenSSL library. OpenSSL's license is, however, incompatible with LFTP's GNU GPL license and LFTP does not include an exception allowing OpenSSL linking. With this update, LFTP links to the GnuTLS (GNU Transport Layer Security) library, which is released under the GNU LGPL license. Like OpenSSL, GnuTLS implements the SSL and TLS protocols, so functionality has not changed. (BZ#458777)

* running 'help mirror' from within lftp only presented a sub-set of the available options compared to the full list presented in the man page. With this update, running 'help mirror' in lftp presents the same list of mirror options as is available in the Commands section of the lftp man page. (BZ#461922)

* LFTP imports gnu-lib from upstream. Subsequent to gnu-lib switching from GNU GPLv2 to GNU GPLv3, the LFTP license was internally inconsistent, with LFTP licensed as GNU GPLv2 but portions of the package apparently licensed as GNU GPLv3 because of changes made by the gnu-lib import. With this update, LFTP itself switches to GNU GPLv3, resolving the inconsistency. (BZ#468858)

* when the 'ls' command was used within lftp to present a directory listing on a remote system connected to via HTTP, file names containing spaces were presented incorrectly. This update corrects this behavior. (BZ#504591)

* the default alias 'edit' did not define a default editor. If EDITOR was not set in advance by the system, lftp attempted to execute '~/.lftp/edit.tmp.$$' (which failed because the file is not set to executable). The edit alias also did not support tab-completion of file names and incorrectly interpreted file names containing spaces.
The updated package defines a default editor (vi) in the absence of a system-defined EDITOR. The edit alias now also supports tab-completion and handles file names containing spaces correctly for both downloading and uploading. (BZ#504594)

Note: This update upgrades LFTP from version 3.7.3 to upstream version 3.7.11, which incorporates a number of further bug fixes to those noted above. For details regarding these fixes, refer to the '/usr/share/doc/lftp-3.7.11/NEWS' file after installing this update.
(BZ#308721)

All LFTP users are advised to upgrade to this updated package, which resolves these issues.

The remote Redhat Enterprise Linux 5 host has a package installed that is affected by a vulnerability as referenced in the RHSA-2009:1278 advisory.

    LFTP is a sophisticated file transfer program for the FTP and HTTP     protocols. Like bash, it has job control and uses the readline library for     input. It has bookmarks, built-in mirroring, and can transfer several files     in parallel. It is designed with reliability in mind.

    It was discovered that lftp did not properly escape shell metacharacters     when generating shell scripts using the mirror --script command. A     mirroring script generated to download files from a malicious FTP server     could allow an attacker controlling the FTP server to run an arbitrary     command as the user running lftp. (CVE-2007-2348)

    This update also fixes the following bugs:

    * when using the mirror or get commands with the -c option, lftp did     not check for some specific conditions that could result in the program     becoming unresponsive, hanging and the command not completing. For example,     when waiting for a directory listing, if lftp received a 226 message,     denoting an empty directory, it previously ignored the message and kept     waiting. With this update, these conditions are properly checked for and     lftp no longer hangs when -c is used with mirror or get. (BZ#422881)

    * when using the put, mput or reput commands over a Secure FTP (SFTP)     connection, specifying the -c option sometimes resulted in corrupted     files of incorrect size. With this update, using these commands over SFTP     with the -c option works as expected, and transferred files are no     longer corrupted in the transfer process. (BZ#434294)

    * previously, LFTP linked to the OpenSSL library. OpenSSL's license is,     however, incompatible with LFTP's GNU GPL license and LFTP does not include     an exception allowing OpenSSL linking. With this update, LFTP links to the     GnuTLS (GNU Transport Layer Security) library, which is released under the     GNU LGPL license. Like OpenSSL, GnuTLS implements the SSL and TLS     protocols, so functionality has not changed. (BZ#458777)

    * running help mirror from within lftp only presented a sub-set of the     available options compared to the full list presented in the man page. With     this update, running help mirror in lftp presents the same list of mirror     options as is available in the Commands section of the lftp man page.
    (BZ#461922)

    * LFTP imports gnu-lib from upstream. Subsequent to gnu-lib switching from     GNU GPLv2 to GNU GPLv3, the LFTP license was internally inconsistent, with     LFTP licensed as GNU GPLv2 but portions of the package apparently licensed     as GNU GPLv3 because of changes made by the gnu-lib import. With this     update, LFTP itself switches to GNU GPLv3, resolving the inconsistency.
    (BZ#468858)

    * when the ls command was used within lftp to present a directory listing     on a remote system connected to via HTTP, file names containing spaces were     presented incorrectly. This update corrects this behavior. (BZ#504591)

    * the default alias edit did not define a default editor. If EDITOR was     not set in advance by the system, lftp attempted to execute     ~/.lftp/edit.tmp.$$ (which failed because the file is not set to     executable). The edit alias also did not support tab-completion of file     names and incorrectly interpreted file names containing spaces. The updated     package defines a default editor (vi) in the absence of a system-defined     EDITOR. The edit alias now also supports tab-completion and handles file     names containing spaces correctly for both downloading and uploading.
    (BZ#504594)

    Note: This update upgrades LFTP from version 3.7.3 to upstream version     3.7.11, which incorporates a number of further bug fixes to those noted     above. For details regarding these fixes, refer to the     /usr/share/doc/lftp-3.7.11/NEWS file after installing this update.
    (BZ#308721)

    All LFTP users are advised to upgrade to this updated package, which     resolves these issues.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Oracle Linux 5 host has a package installed that is affected by a vulnerability as referenced in the ELSA-2009-1278 advisory.

    - Resolves: #239334 solves CVE-2007-2348

Tenable has extracted the preceding description block directly from the Oracle Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

远程 Oracle Linux 5 主机上安装的一个程序包受到 ELSA-2009-1278 公告中提及的一个漏洞影响。

  - 在 lftp 3.5.9 的之前版本中，mirror --script 未正确引用 shell 元字符，这可能允许受用户协助的远程攻击者通过恶意脚本执行 shell 命令。注意：该脚本已经支持 get 等可能覆盖可执行文件的命令，因此尚不清楚此问题是否跨越安全边界。(CVE-2007-2348)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - mirror --script in lftp before 3.5.9 does not properly quote shell metacharacters, which might allow     remote user-assisted attackers to execute shell commands via a malicious script. NOTE: it is not clear     whether this issue crosses security boundaries, since the script already supports commands such as get     which could overwrite executable files. (CVE-2007-2348)

Note that Nessus relies on the presence of the package as reported by the vendor.

CVE-2007-2348 lftp mirror --script does not escape names and targets of symbolic links

It was discovered that lftp did not properly escape shell metacharacters when generating shell scripts using the 'mirror
--script' command. A mirroring script generated to download files from a malicious FTP server could allow an attacker controlling the FTP server to run an arbitrary command as the user running lftp.
(CVE-2007-2348)

This update also fixes the following bugs :

  - when using the 'mirror' or 'get' commands with the '-c'     option, lftp did not check for some specific conditions     that could result in the program becoming unresponsive,     hanging and the command not completing. For example,     when waiting for a directory listing, if lftp received a     '226' message, denoting an empty directory, it     previously ignored the message and kept waiting. With     this update, these conditions are properly checked for     and lftp no longer hangs when '-c' is used with 'mirror'     or 'get'. (BZ#422881)

  - when using the 'put', 'mput' or 'reput' commands over a     Secure FTP (SFTP) connection, specifying the '-c' option     sometimes resulted in corrupted files of incorrect size.
    With this update, using these commands over SFTP with     the '-c' option works as expected, and transferred files     are no longer corrupted in the transfer process.
    (BZ#434294)

  - previously, LFTP linked to the OpenSSL library.
    OpenSSL's license is, however, incompatible with LFTP's     GNU GPL license and LFTP does not include an exception     allowing OpenSSL linking. With this update, LFTP links     to the GnuTLS (GNU Transport Layer Security) library,     which is released under the GNU LGPL license. Like     OpenSSL, GnuTLS implements the SSL and TLS protocols, so     functionality has not changed. (BZ#458777)

  - running 'help mirror' from within lftp only presented a     sub-set of the available options compared to the full     list presented in the man page. With this update,     running 'help mirror' in lftp presents the same list of     mirror options as is available in the Commands section     of the lftp man page. (BZ#461922)

  - LFTP imports gnu-lib from upstream. Subsequent to     gnu-lib switching from GNU GPLv2 to GNU GPLv3, the LFTP     license was internally inconsistent, with LFTP licensed     as GNU GPLv2 but portions of the package apparently     licensed as GNU GPLv3 because of changes made by the     gnu-lib import. With this update, LFTP itself switches     to GNU GPLv3, resolving the inconsistency. (BZ#468858)

  - when the 'ls' command was used within lftp to present a     directory listing on a remote system connected to via     HTTP, file names containing spaces were presented     incorrectly. This update corrects this behavior.
    (BZ#504591)

  - the default alias 'edit' did not define a default     editor. If EDITOR was not set in advance by the system,     lftp attempted to execute '~/.lftp/edit.tmp.$$' (which     failed because the file is not set to executable). The     edit alias also did not support tab-completion of file     names and incorrectly interpreted file names containing     spaces. The updated package defines a default editor     (vi) in the absence of a system-defined EDITOR. The edit     alias now also supports tab-completion and handles file     names containing spaces correctly for both downloading     and uploading. (BZ#504594)

Note: This update upgrades LFTP from version 3.7.3 to upstream version 3.7.11, which incorporates a number of further bug fixes to those noted above. For details regarding these fixes, refer to the '/usr/share/doc/lftp-3.7.11/NEWS' file after installing this update.
(BZ#308721)

CVE-2007-2348 lftp ミラー --スクリプトがシンボリックリンクの名前とターゲットをエスケープしません

lftp は、「mirror --script」コマンドを使用してシェルスクリプトを生成する際に、シェルのメタ文字を適切にエスケープしていないことが
判明しました。悪意のある FTP サーバーからファイルをダウンロードするために生成されたミラーリングスクリプトにより、ユーザーが lftp を実行している時に、その FTP サーバーを制御する攻撃者が任意のコマンドを実行できる可能性があります。
（CVE-2007-2348）

この更新は以下のバグも修正します：

-「Mirror」あるいは「get」コマンドを「-c」オプションで使用する際、lftp は特定の状態をチェックしないため、プログラムが応答しない、ハングを起こす、コマンドが完了しないなどの問題が生じる可能性があります。たとえば、lftp がディレクトリリスト表示を待機しているときに、空のディレクトリであることを示す「226」メッセージを受信すると、これまでそのメッセージを無視し、引き続き待機していました。この更新により、これらの条件は適切にチェックされており、「mirror」または「get」で「-c」を使用する場合に、lftp がハングすることはありません。（BZ#422881）

- Secure FTP（SFTP）接続にて「put」、「mput」あるいは「reput」のコマンドを使用する際、「-c」オプションを指定することにより不適切なサイズのファイル破損を引き起こす可能性があります。
 この更新により、SFTP でこれらのコマンドを「-c」オプションで使用すると、想定どおりに動作し、転送されたファイルが転送プロセスで破損することはありません。
 （BZ#434294）

- 以前、LFTP は OpenSSL ライブラリにリンクされていました。
 ただし、OpenSSL のライセンスは LFTP の GNU GPL ライセンスと互換ではなく、LFTP には OpenSSL リンクの設定を許可する例外が含まれていません。この更新により、LFTP は、GNU LGPL ライセンスでリリースされる、GnuTLS（GNU Transport Layer Security）ライブラリにリンクします。OpenSSL と同じように、GnuTLS は SSL および TLS のプロトコルを実装しているため、機能性は変わっていません。（BZ#458777）

- lftp からの「help mirror」の実行は、man ページに表示されている完全なリストと比較して、利用可能なオプションのサブセットのみを表示していました。この更新により、lftp で「help mirror」を実行すると、lftp の man ページのコマンドセクションに記載されているのと同じミラーオプションのリストが提示されます。（BZ#461922）

- LFTP は upstream から gnu-lib をインポートします。gnu-lib が GNU GPLv2 から GNU GPLv3 に切り替わると、内部で LFTP ライセンスに矛盾が発生していました。gnu-lib のインポートにより変更が行われるため、LFTP は GNU GPLv2 としてライセンスされているものの、パッケージの一部は外見上 GNU GPLv3 としてライセンスされていました。この更新により、LFTP 自体が GNU GPLv3 に切り替わり、矛盾を解決しています。（BZ#468858）

- 「ls」コマンドが lftp で使用され、HTTP を通じて接続されているリモートシステム上でディレクトリリスト表示が表示される際、スペースを含むファイル名が不適切に表示されていました。この更新では、この動作を修正しています。
 （BZ#504591）

- デフォルトのエイリアスである「edit」はデフォルトエディターを定義しませんでした。EDITOR がシステムにより事前に設定されていなかった場合、lftp は「~/.lftp/edit.tmp.$$」を試しに実行していました（そのファイルは実行可能に設定されていないために失敗していました）。さらに、編集エイリアスは、ファイル名のタブ完了をサポートしておらず、空白を含むファイル名を間違って解釈していました。更新済みパッケージでは、システム定義の EDITOR がない場合での、デフォルトのエディター（vi）を定義しています。さらに、編集エイリアスは、タブ完了をサポートしており、ダウンロードとアップロードのどちらの場合でも、空白を含むファイル名を正しく処理しています。（BZ#504594）

注：この更新により、LFTP がバージョン 3.7.3 から、上記の問題への修正以外に多数のバグ修正も組み込まれた、Upstream バージョン 3.7.11 にアップグレードされます。これらの修正の詳細については、この更新のインストール後、「/usr/share/doc/lftp-3.7.11/NEWS」ファイルを参照してください。
（BZ#308721）

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 3.5.9 より前の lftp のミラー --script が、シェルメタ文字を適切に引用しません。このため、リモートのユーザーの支援を受けた攻撃者が、悪意のあるスクリプトを介してシェルコマンドを実行する可能性があります。注：スクリプトがgetなどの実行可能ファイルを上書きするコマンドをすでにサポートしているため、この問題がセキュリティの境界を越えるかどうかは明らかではありません。 （CVE-2007-2348）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

1 つのセキュリティ問題と様々なバグを修正する更新済みの lftp パッケージが、Red Hat Enterprise Linux 5 で現在利用可能です。

この更新は、Red Hat セキュリティレスポンスチームによりセキュリティインパクトが小さいと評価されています。

LFTP は、FTP および HTTP プロトコル用の高度なファイル転送プログラムです。これには Bash と同様にジョブコントロールがあり、Readline ライブラリを入力に使用します。これにはブックマーク、内蔵ミラーリングがあり、複数のファイルを並行して転送できます。これは信頼性を念頭に設計されています。

lftp は、「mirror --script」コマンドを使用してシェルスクリプトを生成する際に、シェルのメタ文字を適切にエスケープしていないことが
判明しました。悪意のある FTP サーバーからファイルをダウンロードするために生成されたミラーリングスクリプトにより、ユーザーが lftp を実行している時に、その FTP サーバーを制御する攻撃者が任意のコマンドを実行できる可能性があります。
（CVE-2007-2348）

この更新は以下のバグも修正します：

* 「Mirror」または「get」コマンドを「-c」オプションで使用する際、lftp は特定の状態をチェックしません。これによって、プログラムの応答停止、ハングアップ、およびコマンドの未完了が生じる可能性があります。
たとえば、lftp がディレクトリリスト表示を待機しているときに、空のディレクトリであることを示す「226」メッセージを受信すると、これまでそのメッセージを無視し、引き続き待機していました。この更新により、これらの条件は適切にチェックされており、「mirror」または「get」で「-c」を使用する場合に、lftp がハングすることはありません。（BZ#422881）

* Secure FTP（SFTP）接続で「put」、「mput」または「reput」コマンドを使用する際に「-c」オプションを指定すると、不適切なサイズのファイルが破損する場合があります。この更新により、SFTP でこれらのコマンドを「-c」オプションで使用すると、想定どおりに動作し、転送されたファイルが転送プロセスで破損することはありません。
（BZ#434294）

* 以前、LFTP は OpenSSL ライブラリにリンクしていました。ただし、OpenSSL のライセンスは LFTP の GNU GPL ライセンスと互換ではなく、LFTP には OpenSSL リンクの設定を許可する例外が含まれていません。この更新により、LFTP は、GNU LGPL ライセンスでリリースされる、GnuTLS（GNU Transport Layer Security）ライブラリにリンクします。OpenSSL と同じように、GnuTLS は SSL および TLS のプロトコルを実装しているため、機能性は変わっていません。（BZ#458777）

* lftp 内から「help mirror」を実行すると、man ページに表示される完全なリストと比較して、利用可能なオプションのサブセットのみが表示されました。この更新により、lftp で「help mirror」を実行すると、lftp の man ページのコマンドセクションに記載されているのと同じミラーオプションのリストが提示されます。（BZ#461922）

* LFTP は upstream から gnu-lib をインポートします。gnu-lib が GNU GPLv2 から GNU GPLv3 に切り替わると、内部で LFTP ライセンスに矛盾が発生していました。gnu-lib のインポートにより変更が行われるため、LFTP は GNU GPLv2 としてライセンスされているものの、パッケージの一部は外見上 GNU GPLv3 としてライセンスされていました。この更新により、LFTP 自体が GNU GPLv3 に切り替わり、矛盾を解決しています。（BZ#468858）

* lftp 内で「ls」コマンドを使用し、HTTP 経由で接続されているリモートシステム上でディレクトリリストを表示すると、スペースを含むファイル名が不適切に表示されました。この更新では、この動作を修正しています。（BZ#504591）

* デフォルトのエイリアス「edit」は、デフォルトエディターを定義しませんでした。EDITOR がシステムにより事前に設定されていなかった場合、lftp は「~/.lftp/edit.tmp.$$」を試しに実行していました（そのファイルは実行可能に設定されていないために失敗していました）。さらに、編集エイリアスは、ファイル名のタブ完了をサポートしておらず、空白を含むファイル名を間違って解釈していました。
更新済みパッケージでは、システム定義の EDITOR がない場合での、デフォルトのエディター（vi）を定義しています。さらに、編集エイリアスは、タブ完了をサポートしており、ダウンロードとアップロードのどちらの場合でも、空白を含むファイル名を正しく処理しています。（BZ#504594）

注：この更新により、LFTP がバージョン 3.7.3 から、上記の問題への修正以外に多数のバグ修正も組み込まれた、Upstream バージョン 3.7.11 にアップグレードされます。これらの修正の詳細については、この更新のインストール後、「/usr/share/doc/lftp-3.7.11/NEWS」ファイルを参照してください。
（BZ#308721）

LFTP の全ユーザーは、この更新済みパッケージにアップグレードし、これらの問題を解決することが推奨されます。

CVE-2007-2348 lftp mirror -- 指令碼並未逸出符號連結的名稱和目標

據發現，當使用「mirror--script」命令產生 shell 指令碼時，lftp 並未
正確逸出 shell 中繼字元。所產生的可從惡意 FTP 伺服器下載檔案的鏡像指令碼可允許攻擊者控制 FTP 伺服器以執行 lftp 之使用者的身分執行任意命令。
(CVE-2007-2348)

此更新也可修正下列錯誤：

- 透過 '-c' 選項使用 'mirror' 或 'get' 命令時，lftp 並未檢查是否有可導致程式變得沒有回應、懸置及命令無法完成的一些特定情形。例如，當等候目錄清單時，如果 lftp 收到代表空目錄的「226」訊息，它之前會忽略訊息並保持等候。透過此更新，會對這些情況進行適當檢查，且當搭配「mirror」或「get」使用「-c」時，lftp 不會再懸置。(BZ#422881)

- 在安全 FTP 連線 (SFTP) 上使用 'put'、'mput' 或 'reput' 命令時，指定 '-c' 選項有時會導致不正確大小的檔案損毀。
 透過此更新，在 SFTP 上搭配「-c」選項使用這些命令可如預期運作，傳輸的檔案不會再於傳輸處理程序中損毀。
 (BZ#434294)

- LFTP 先前會連結至 OpenSSL 程式庫。
 但是，OpenSSL 的授權與 LFTP 的 GNU GPL 授權不相容，且 LFTP 不包含允許 OpenSSL 連結的例外狀況。透過此更新，LFTP 會連結至 GnuTLS (GNU 傳輸層安全) 程式庫，其在 GNU LGPL 授權之下發佈。與 OpenSSL 一樣，GnuTLS 會實作 SSL 和 TLS 通訊協定，因此功能並未變更。(BZ#458777)

- 從 lftp 內部執行 'help mirror' 時，會顯示相較於手冊頁中完整清單的可用選項子集。透過此更新，在 lftp 中執行「help mirror」代表鏡像選項的相同清單，就像在 lftp 手冊頁的〈命令〉一節中可以找到的一樣。(BZ#461922)

- LFTP 從上游匯入 gnu-lib。在 gnu-lib 從 GNU GPLv2 切換至 GNU GPLv3 之後，LFTP 授權內部已不一致，LFTP 已授權為 GNU GPLv2，但由於透過 gnu-lib 匯入進行的變更，套件的部分顯然已授權為 GNU GPLv3。透過此更新，LFTP 本身會切換至 GNU GPLv3，而解決了不一致的問題。(BZ#468858)

- 在從 lftp 內部使用 'ls' 命令以在透過 HTTP 連線的遠端系統上顯示目錄清單時，包含空格的檔案名稱並未正確顯示。此項更新修正了此行為。
 (BZ#504591)

- 預設別名 'edit' 未定義預設編輯器。如果系統並未預先設定編輯器，lftp 會嘗試執行「~/.lftp/edit.tmp.$$」(它會因檔案並未設定為可執行而失敗)。編輯別名也不支援檔案名稱的 tab 補齊功能，且會錯誤解譯包含空格的檔案名稱。更新版套件定義了在缺少系統定義之「編輯器」的情況下所使用的預設編輯器 (vi)。編輯別名現在也支援 tab 補齊功能，並可在下載及上傳時正確處理包含空格的檔案名稱。(BZ#504594)

注意：此更新將 LFTP 從 3.7.3 版升級至上游版本 3.7.11，從而將一些更進一步的錯誤修正合併到以上這些注意事項中。安裝此更新後，如需有關這些修正的詳細資訊，請參閱「/usr/share/doc/lftp-3.7.11/NEWS」檔案。
(BZ#308721)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 lftp 3.5.9 之前版本中，mirror --script 未正確引用殼層詮釋字元，這可能允許遠端使用者協助的攻擊者透過惡意指令碼執行殼層命令。注意：目前尚不清楚此問題是否跨越安全性邊界，因為指令碼已支援如 get 之類的命令，其可覆寫可執行檔。 (CVE-2007-2348)

請注意，Nessus 依賴供應商報告的套件存在。

CVE-2007-2348 lftp mirror --script 未转义符号链接的名称和目标。

已发现 lftp 在使用“mirror--script”命令生成 shell 脚本时未正确转义 shell 元字符。为从恶意 FTP 服务器下载文件而生成的镜像脚本可允许攻击者控制 FTP 服务器，从而以运行 lftp 的用户的身份运行任意命令。
(CVE-2007-2348)

此更新还修复以下缺陷：

- 通过“-c”选项使用“mirror”或“get”命令时，lftp 未检查某些可导致程序失去响应、挂起和命令未完成的特定条件。例如，等待目录清单时，如果 lftp 接收到代表空目录的“226”消息，则其会过早地忽略该消息并继续等待。通过此更新，这些情况会得到正确检查，将“-c”与“mirror”或“get”一起使用时，lftp 不再挂起。(BZ#422881)

- 在安全 FTP (SFTP) 上使用“put”、“mput”或“reput”命令时，指定“-c”选项有时会导致大小不正确的文件遭到损坏。
 通过此更新，在 SFTP 上通过“-c”选项使用这些命令将按预期方式工作，传输的文件不会再在传输过程中遭到损坏。
 (BZ#434294)

- 以前，LFTP 链接到 OpenSSL 库。
 但是，OpenSSL 的许可证与 LFTP 的 GNU GPL 许可证不兼容，并且 LFTP 不包括允许 OpenSSL 链接的例外。通过此更新，LFTP 将链接到根据 GNU LGPL 许可证发布的 GnuTLS（GNU 传输层安全）库。和 OpenSSL 一样，GnuTLS 实现 SSL 和 TLS 协议，因此功能未变更。(BZ#458777)

- 从 lftp 内运行“help mirror”仅会显示一部分可用选项，而不是手册页中显示的完整列表。通过此更新，在 lftp 中运行“help mirror”将显示与 mirror 选项相同的列表，可在 lftp 手册页的“命令”部分中获得此列表。(BZ#461922)

- LFTP 从上游导入 gnu-lib。在 gnu-lib 从 GNU GPLv2 切换到 GNU GPLv3 之后，LFTP 许可证在内部不一致，LFTP 被许可为 GNU GPLv2，但程序包的一部分明显被许可为 GNU GPLv3，原因是由 gnu-lib 导入所做的变更。通过此更新，LFTP 自行切换到 GNU GPLv3，从而解决不一致的情况。(BZ#468858)

- 在 lftp 内使用“ls”命令以显示通过 HTTP 连接的远程系统上的文件列表时，包含空格的文件名的显示方式不正确。此更新修正了此行为。
 (BZ#504591)

- 默认别名“edit”未定义默认编辑器。如果系统未提前设置 EDITOR，lftp 会尝试执行“~/.lftp/edit.tmp.$$”（因文件未被设置为可执行而失败）。edit 别名也不支持文件名的 tab 完成，并且错误地解释了包含空格的文件名。更新后的程序包在缺少系统定义的 EDITOR 时定义默认编辑器 (vi)。edit 别名现在支持 tab 完成，并且正确地处理了包含空格的文件名的下载和上传。(BZ#504594)

注意：此更新将 LFTP 从版本 3.7.3 升级至上游版本 3.7.11，其中包含上述缺陷补丁以外的一系列缺陷补丁。有关这些补丁的详细信息，请在安装此更新后参阅“/usr/share/doc/lftp-3.7.11/NEWS”文件。
(BZ#308721)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 lftp 3.5.9 的之前版本中，mirror --script 未正确引用 shell 元字符，这可能允许受用户协助的远程攻击者通过恶意脚本执行 shell 命令。注意：此问题是否 跨越安全边界尚不明确，因为脚本已经支持类似 get 的命令，其可以覆盖可执行文件。 (CVE-2007-2348)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
180603	Oracle Linux 5: lftp (ELSA-2009-1278)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	critical
180603	Oracle Linux 5：lftp (ELSA-2009-1278)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	critical
43780	CentOS 5 : lftp (CESA-2009:1278)	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	medium
40836	RHEL 5 : lftp (RHSA-2009:1278)	Nessus	Red Hat Local Security Checks	2009/9/2	2024/11/4	critical
180603	Oracle Linux 5 : lftp (ELSA-2009-1278)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	critical
180603	Oracle Linux 5：lftp (ELSA-2009-1278)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	critical
217039	Linux Distros Unpatched Vulnerability : CVE-2007-2348	Nessus	Misc.	2025/3/3	2025/3/3	critical
60654	Scientific Linux Security Update : lftp on SL5.x i386/x86_64	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
60654	Scientific Linux セキュリティ更新：SL5.x i386/x86_64 の lftp	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
217039	Linux Distros のパッチ未適用の脆弱性: CVE-2007-2348	Nessus	Misc.	2025/3/3	2025/3/3	critical
43780	CentOS 5：lftp（CESA-2009:1278）	Nessus	CentOS Local Security Checks	2010/1/6	2021/1/4	medium
60654	Scientific Linux 安全性更新：SL5.x i386/x86_64 上的 lftp	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
217039	Linux Distros 未修補弱點：CVE-2007-2348	Nessus	Misc.	2025/3/3	2025/3/3	critical
60654	Scientific Linux 安全更新：SL5.x i386/x86_64 中的 lftp	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
217039	Linux Distros 未修补的漏洞: CVE-2007-2348	Nessus	Misc.	2025/3/3	2025/3/3	critical

检测

插件搜索

critical

critical

medium

critical

critical

critical

critical

medium

medium

critical

medium

medium

critical

medium

critical