След 14 месеца разработка е оформен релиз на пакета GNU inetutils 2.5 с колекция от мрежови програми, голямата част от които са пренесени от BSD системи. В частност, включени са inetd и syslogd, сървъри и клиенти за ftp, telnet, rsh, rlogin, tftp и talk, както и утилити, като ping, ping6, traceroute, whois, hostname, dnsdomainname, ifconfig, logger и др.
В новата версия е отстранена уязвимостта (CVE-2023-40303) в suid програмите ftpd, rcp, rlogin, rsh, rshd и uucpd, причинена от липса на проверка на стойностите, върнати от функциите setuid(), setgid(), seteuid() и setguid(). Уязвимостта може да бъде използвана за създаване на условия, при които извикването set*id() не води до нулиране на привилегиите и приложението продължава да работи с повишени права и извършва операции, първоначално предвидени да се изпълняват с правата на непривилегирован потребител. Например, процесите ftpd, uucpd и rshd, стартирани с права root, в случай на неуспех при извикването на set*id() ще продължат да използват правата root след стартиране на потребителски сесии.
Освен коригирането на уязвимостта и малки грешки, в новата версия на утилита ping6 е добавена поддръжка за ICMPv6 съобщения с информация за недостъпността на целевия хост ("destination unreachable", RFC 4443).
Източник: opennet.ru
