Zespół pogotowia do spraw zagrożeń bezpieczeństwa (COVERT) oddziału PGP Security Network Associates poinformował w ubiegłym tygodniu trzech dostawców systemów operacyjnych o wykryciu słabych punktów oprogramowania ich serwerów FTP.

Wykryte nieszczelności mogą umożliwiać hakerom włamanie do tych serwerów i kradzież danych, zniszczenie ośrodka webowego lub podmianę danych w celu fałszowania informacji dostarczanej za pośrednictwem tych serwerów przez firmy swoim klientom.

Serwery FTP są powszechnie używane w sieciach przedsiębiorstw do udostępniania danych pracownikom, klientom i partnerom handlowym - problem ten może więc dotyczyć znaczącej części takich sieci. Problem został wykryty w systemach Unix pochodzących z Sun Microsystem, Silicon Graphics i Hewlett-Packard. PGP Security współpracuje z tymi dostawcami w przygotowaniu odpowiednich łatek. Sun potwierdził, że luka bezpieczeństwa istnieje w systemie Solaris i przygotowuje już stosowne łatki programowe. HP i Silicon Graphics nie potwierdziły jeszcze istnienie tych luk w ich systemach operacyjnych.

Luka ta jest powiązana z funkcją „glob”, która pozwala na prowadzenie wyszukiwań używając skróconych wersji nazw lub słów. W wyniku użycia funkcji glob na serwer FTP często napływa dużo więcej danych niż można było się spodziewać, co powoduje przetrzymywanie ich w buforze. Jest to dość powszechny przypadek nieszczelności: przetrzymywane w buforze dane mogą być wykorzystane przez oprogramowanie napisane specjalnie do manipulowania nimi. PGP Security nie przygotowuje łatek programowych do systemów operacyjnych, zapewnia natomiast możliwość wykrywania znanych luk systemowych w oprogramowaniu za pomocą swojego produktu CyberCop Scanner.