4D WebSTAR是一款提供WEB、FTP和MAIL的Mac OS X平台下的产品。4D WebSTAR存在多个安全问题，远程或者本地攻击者可以利用这些漏洞提升权限或访问受保护资源。

　　具体问题如下：

　　1、远程可利用验证前FTP缓冲区溢出问题

　　FTP服务存在基于堆栈的缓冲区溢出，攻击者发送超长FTP命令，可导致触发堆栈破坏。由于此命令发生在验证之前，因此任意用户可能以进程权限在系统上执行任意指令。

　　2、主机任意目录索引

　　WebSTAR的样例脚本(/cgi-bin/ShellExample.cgi)可用于获得服务器上任意目录的列表信息。在马路路径上追加一个星号就能实现。

　　3、PHP.INI文件泄露

　　存在漏洞允许攻击者下载/cgi-bin和/fcgi-bin目录下的php.ini文件，可造成敏感信息泄露，包括数据库密码信息。

　　4、通过符号链接提升权限或文件覆盖

　　WebSTAR从当前工作目录通过相对路径打开文件，攻击者利用这个漏洞可以覆盖系统文件。由于默认umask可以全局读和写权限建立文件，攻击者可以利用Cron子系统提升权限。

　　受影响系统：

　　4D WebSTAR 5.3.2

　　4D WebSTAR 5.3.1

　　4D WebSTAR 5.3

　　4D WebSTAR 5.2.4

　　4D WebSTAR 5.2.3

　　4D WebSTAR 5.2.2

　　4D WebSTAR 5.2.1

　　4D WebSTAR 5.2

　　4D WebSTAR 4.0

　　补丁下载：

　　Download WebSTAR 5.3.3:

　　ftp://ftp.4d.com/products/webstar/current/4d_webstar_v/4d_webstar_v.sit