forum.lissyara.su

http://www.proftpd.org/

------------------------------------------------------------------
ftp.proftpd.org compromised
[01/Dec/2010]

The ProFTPD Project team is sorry to announce that the Project's main FTP server, as well as all of the mirror servers, have carried compromised versions of the ProFTPD 1.3.3c source code, from the November 28 2010 to December 2 2010. All users who run versions of ProFTPD which have been downloaded and compiled in this time window are strongly advised to check their systems for security compromises and install unmodified versions of ProFTPD.

To verify the integrity of your source files, use the PGP signatures which can be found here as well as on the FTP servers.

The source code in CVS was not affected.
------------------------------------------------------------------

Перевод(вольный):
Бригада ProFTPd извиняется за то, что им приходится сообщить, что главный ФТП сервер, а также все зеркала содержали в себе скомпрометированную версию ProFTPD 1.3.3c в исходных кодах(проще говоря, по русски, - сайт был взломан и исходный код ФТП сервака был модифицирован таким образом, что был внедрен код Backdoor, что значит - те кто, это сделал могли поиметь по самые помидоры машины, которые установили эту версию).
Все, кто обновлялся до версии 1.3.3с в период с 28 ноября по 2-е декабря 2010 - срочно проверяйте свои машины.
Лучший вариант - переустанавливайте всю систему с нуля.

После скачивания новой, не заразной версии проверьте контрольные суммы исходных кодов(и где гарантия что они опять не левые?), которые опубликованы на сайте ПроФТПд и проверьте беспонтовую PGP подпись, которую так же легко подменить как и все остальное.

Мдяя.. это большой минус в сторону репутации proftpd, раньше только им пользовался, теперь вот наверно перейду на что-то другое.

rnd писал(а):Мдяя.. это большой минус в сторону репутации proftpd, раньше только им пользовался, теперь вот наверно перейду на что-то другое.

Здрасти..., а причем здесь proftpd? Хакнули хостинг. От этого 100% защиты еще не придумали.
Проблема просто в том, что дохера людей не догоняют, что PGP подпись - это дерьмо собачье, любой может создать ключ с чужим именем и юзать его с понтом это кто то другой.
Головной фряховский сайт тоже кстати этим страдает, нет никакой гарантии, что в любой данный момент сайт может быть хакнут и писец - всем.
Все секьюрити эдвайзери подписаны вообще не доверенным ключом, понятно что с баблом у всех проблемы, но могли бы разориться на соточку в год из тех же пожертвований...