wu-ftpd

/.-Jなどですでに話題になっているけどwu-ftpdにroot権限を取れるセキュリティ・ホールが見つかったらしい． 某サーバのftpdを確認したら，やっぱりwu-ftpdだった．ちょっとやばそうなので，BugTraq MLに投稿されたメイル(Wu-Ftpd File Globbing Heap Corruption Vulnerability)を確認したら，

If anonymous FTP is not enabled, valid user credentials are required to exploit this vulnerability.

ということらしいので，ユーザがパスワードを盗まれていたらアウトだけど，そうでなければwu-ftpdがanonymous loginを許可していなければとりあえずは影響なさそう¹．その後，BugTraq MLにパッチが投稿されていたので，パッチを当ててきちんと対策した．しかし，Linuxはディストリビューション毎に，デフォルトでインストールされるプログラムが異なっていて確認が面倒だ．ディストリビューションによっては，現在インストールされているプログラムを確認するツールはあるみたいだけど…