This update for proftpd fixes the following issues :

  - GeoIP has been discontinued by Maxmind (boo#1156210)     This update removes module build for geoip see     https://support.maxmind.com/geolite-legacy-discontinuati     on-notice/

  - CVE-2019-19269: Fixed a NULL pointer dereference may     occur when validating the certificate of a client     connecting to the server (boo#1157803)

  - CVE-2019-19270: Fixed a Failure to check for the     appropriate field of a CRL entry prevents some valid     CRLs from being taken into account (boo#1157798)

  - CVE-2019-18217: Fixed remote unauthenticated     denial-of-service due to incorrect handling of overly     long commands (boo#1154600 gh#846)

Update to 1.3.6b

  - Fixed pre-authentication remote denial-of-service issue     (Issue #846).

  - Backported fix for building mod_sql_mysql using MySQL 8     (Issue #824).

Update to 1.3.6a :

  - Fixed symlink navigation (Bug#4332).

  - Fixed building of mod_sftp using OpenSSL 1.1.x releases     (Issue#674).

  - Fixed SITE COPY honoring of <Limit> restrictions     (Bug#4372).

  - Fixed segfault on login when using mod_sftp +     mod_sftp_pam (Issue#656).

  - Fixed restarts when using mod_facl as a static module

  - Add missing Requires(pre): group(ftp) for Leap 15 and     Tumbleweed (boo#1155834)

  - Add missing Requires(pre): user(ftp) for Leap 15 and     Tumbleweed (boo#1155834)

  - Use pam_keyinit.so (boo#1144056)

  - Reduce hard dependency on systemd to only that which is     necessary for building and installation.

update to 1.3.6 :

  - Support for using Redis for caching, logging; see the     doc/howto/Redis.html documentation.

  - Fixed mod_sql_postgres SSL support (Issue #415).

  - Support building against LibreSSL instead of OpenSSL     (Issue #361).

  - Better support on AIX for login restraictions (Bug     #4285).

  - TimeoutLogin (and other timeouts) were not working     properly for SFTP connections (Bug#4299).

  - Handling of the SIGILL and SIGINT signals, by the daemon     process, now causes the child processes to be terminated     as well (Issue #461).

  - RPM .spec file naming changed to conform to Fedora     guidelines.

  - Fix for 'AllowChrootSymlinks off' checking each     component for symlinks (CVE-2017-7418).

New Modules :

  - mod_redis, mod_tls_redis, mod_wrap2_redis With Redis now     supported as a caching mechanism, similar to Memcache,     there are now Redis-using modules: mod_redis (for     configuring the Redis connection information),     mod_tls_redis (for caching SSL sessions and OCSP     information using Redis), and mod_wrap2_redis (for using     ACLs stored in Redis).

Changed Modules :

  - mod_ban: The mod_ban module's BanCache directive can now     use Redis-based caching; see     doc/contrib/mod_ban.html#BanCache.

-New Configuration Directives

  - SQLPasswordArgon2, SQLPasswordScrypt

    The key lengths for Argon2 and Scrypt-based passwords     are now configurable via these new directives;
    previously, the key length had been hardcoded to be 32     bytes, which is not interoperable with all other     implementations (Issue #454).

Changed Configuration Directives

  - AllowChrootSymlinks When 'AllowChrootSymlinks off' was     used, only the last portion of the DefaultRoot path     would be checked to see if it was a symlink. Now, each     component of the DefaultRoot path will be checked to see     if it is a symlink when 'AllowChrootSymlinks off' is     used.

  - Include The Include directive can now be used within a     <Limit> section, e.g.: <Limit LOGIN> Include     /path/to/allowed.txt DenyAll </Limit> API Changes

  - A new JSON API has been added, for use by third-party     modules.

このproftpdの更新では、次の問題を修正します：

  - GeoIPがMaxmindによって廃止されました（boo#1156210）。この更新により、geoipのモジュールビルドが削除されます。https://support.maxmind.com/geolite-legacy-discontinuation-notice/を参照してください

  - CVE-2019-19269：サーバーに接続しているクライアントの証明書の検証時に発生する可能性のあるNULLポインターデリファレンスを修正しました（boo#1157803）

  - CVE-2019-19270：CRLエントリに適切なフィールドのチェックの失敗によって一部の有効なCRLが考慮されない問題を修正しました（boo#1157798）

  - CVE-2019-18217：過度に長いコマンドの不適切な処理が原因のリモート未認証サービス拒否を修正しました（boo#1154600 gh#846）

1.3.6bへの更新

  - 事前認証リモートサービス拒否の問題を修正しました（問題#846）。

  - MySQL 8を使用してmod_sql_mysqlをビルドするための修正をバックポートしました（問題#824）。

1.3.6bへの更新：

  - シンボリックリンクナビゲーションを修正しました（Bug#4332）。

  - OpenSSL 1.1.xリリースを使用したmod_sftpのビルドを修正しました （Issue#674）。

  - <Limit>の制限のSITE COPYの順守を修正しました（Bug#4372）。

  - mod_sftp + mod_sftp_pamの使用時のログインでのセグメンテーション違反を修正しました（Issue#656）。

  - mod_faclを静的モジュールとして使用する際の再起動を修正しました

  - Leap 15とTumbleweedで欠落していたRequires（pre）：group（ftp）を追加します（boo#1155834）

  - 欠落していたRequires（pre）：user（ftp）を追加します（boo#1155834）

  - pam_keyinit.soを使用します（boo#1144056）

  - systemd上のハードの依存関係をビルドとインストールに必要なものだけに減らします。

1.3.6 への更新：

  - キャッシング、ロギングに対するRedisの使用のサポート。doc/howto/Redis.htmlドキュメントを参照してください。

  - mod_sql_postgres SSLサポートを修正しました（問題#415）。

  - OpenSSLの代わりにLibreSSLに対するビルドをサポートします（問題#361）。

  - AIX上でのログイン制限に対するサポートを改善します（バグ#4285）。

  - TimeoutLogin（およびその他のタイムアウト）がSFTP接続で正しく機能しませんでした（Bug#4299）。

  - デーモンプロセスによるSIGILL信号とSIGINT信号の処理が原因で子プロセスも終了するようになりました（問題#461）。

  - RPM .specファイルの名前付けが、Fedoraのガイドラインに適合するように変更されました。

  - シンボリックリンクの各コンポーネントをチェックする「AllowChrootSymlinks off」の修正（CVE-2017-7418）。

新しいモジュール：

  - mod_redis、mod_tls_redis、mod_wrap2_redisとRisisがキャッシングメカニズムとしてサポートされるようになりました。Memcacheと同様に、Redis使用モジュールが存在します：mod_redis（Redis接続情報を構成する）、mod_tls_redis（Redisを使用してSSLセッションとOCSP情報をキャッシュする）、およびmod_wrap2_redis（Redisに保存されたACLを使用する）。

変更されたモジュール：

  - mod_ban：mod_banモジュールのBanCacheディレクティブで、Redisベースのキャッシングが使用できるようになりました。doc/contrib/mod_ban.html#BanCacheを参照してください。

- 新しい構成ディレクティブ

  - SQLPasswordArgon2、SQLPasswordScrypt

    Argon2およびScryptベースのパスワードのキー長が、これらの新しいディレクティブ経由で構成できるようになりました。
    これまでは、キー長が32バイトになるようにハードコードされていました。これでは、他のすべての実装と相互運用できません（問題#454）。

変更された構成ディレクティブ

  - AllowChrootSymlinks：「AllowChrootSymlinks off」が使用されている場合は、DefaultRootパスの最後の部分のみがシンボリックリンクであるかどうかがチェックされます。現在は、「AllowChrootSymlinks off」が使用されている場合は、DefaultRootパスの各コンポーネントがシンボリックリンクであるかどうかがチェックされます。

  - Include：Includeディレクティブが<Limit>セクション内で使用できるようになりました。例：<Limit LOGIN> Include /path/to/allowed.txt DenyAll </Limit> APIの変更

  - サードパーティモジュールによって使用される新しいJSON APIが追加されました。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 1.3.6b 之前的 ProFTPD 中的 tls_verify_crl 中發現一個問題。無法檢查 CRL 項目的適當欄位 (檢查兩次主體而不是檢查一次主旨和檢查簽發者一次) 會使系統無法將某些有效的 CRL 納入考量而且可允許其憑證已被撤銷的用戶端繼續連線至伺服器。 (CVE-2019-19270)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 ProFTPD 1.3.6b 及之前版本的 tls_verify_crl 中发现一个问题。如果不检查 CRL 条目的相应字段（检查两次主题，而不是一次为主题，一次为颁发者），则会阻止某些有效的 CRL 被纳入考虑，并且可允许其证书已被撤销的客户端继续处理证书颁发机构颁发的 CRL 证书。与服务器的连接。 (CVE-2019-19270)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

This update addresses a number of bugs affecting processing of CRLs in mod_tls, including possible NULL pointer dereferences and missing some checks. Thanks to Lionel Debroux for reporting them.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - An issue was discovered in tls_verify_crl in ProFTPD through 1.3.6b. Failure to check for the appropriate     field of a CRL entry (checking twice for subject, rather than once for subject and once for issuer)     prevents some valid CRLs from being taken into account, and can allow clients whose certificates have been     revoked to proceed with a connection to the server. (CVE-2019-19270)

Note that Nessus relies on the presence of the package as reported by the vendor.

この更新は、NULLポインターデリファレンスの可能性や一部のチェックの欠落など、mod_tlsのCRLの処理に影響を与える多数のバグに対処しています。情報を報告してくれたLionel Debroux氏に感謝の意を表します。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.3.6bまでのProFTPDのtls_verify_crlに問題が見つかりました。CRL エントリの適切なフィールドをチェックできないことにより、件名に対して 1 回と発行者に対して 1 回ではなく、件名に対して 2 回チェックを行うことで、一部の有効な CRL が考慮されなくなり、証明書が失効したクライアントがサービス拒否を引き起こす可能性があります。CVE-2019-19270

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
132911	openSUSE Security Update : proftpd (openSUSE-2020-31)	Nessus	SuSE Local Security Checks	2020/1/15	2024/3/29	critical
132911	openSUSEセキュリティ更新プログラム：proftpd（openSUSE-2020-31）	Nessus	SuSE Local Security Checks	2020/1/15	2024/3/29	critical
256486	Linux Distros 未修補的弱點：CVE-2019-19270	Nessus	Misc.	2025/8/27	2025/10/14	high
256486	Linux Distros 未修补的漏洞：CVE-2019-19270	Nessus	Misc.	2025/8/27	2025/10/14	high
131791	Fedora 30 : proftpd (2019-65a983b8b6)	Nessus	Fedora Local Security Checks	2019/12/9	2019/12/13	high
131794	Fedora 31 : proftpd (2019-bfacf1e958)	Nessus	Fedora Local Security Checks	2019/12/9	2019/12/13	high
256486	Linux Distros Unpatched Vulnerability : CVE-2019-19270	Nessus	Misc.	2025/8/27	2025/10/14	high
131791	Fedora 30：proftpd（2019-65a983b8b6）	Nessus	Fedora Local Security Checks	2019/12/9	2019/12/13	high
131794	Fedora 31：proftpd（2019-bfacf1e958）	Nessus	Fedora Local Security Checks	2019/12/9	2019/12/13	high
256486	Linux Distros のパッチ未適用の脆弱性: CVE-2019-19270	Nessus	Misc.	2025/8/27	2025/10/14	high

检测

插件搜索

critical

critical

high

high

high

high

high

high

high

high