Usa ka kahuyangan ang nadiskobrehan sa telnetd server gikan sa GNU InetUtils suite. Kini nga kahuyangan nagtugot sa koneksyon sa bisan kinsang tiggamit, lakip ang root, nga walay pag-verify sa password. Wala pa ma-assign ang CVE identifier. Ang kahuyangan anaa na sukad sa InetUtils nga bersyon 1.9.3 (2015) ug nagpabilin nga wala pa ma-patch sa kasamtangang release 2.7.0. Adunay solusyon nga anaa sa mga patch (1, 2).
Ang problema gipahinabo sa kamatuoran nga aron masusi ang password, ang proseso sa telnetd motawag sa utility nga "/usr/bin/login", nga ipasa isip argumento ang username nga gitino sa kliyente kung magkonektar sa serverAng "login" utility nagsuporta sa opsyon nga "-f", nga nagtugot sa pag-login nga walay authentication (kini nga opsyon gituyo nga gamiton kung ang user na-authenticate na). Busa, pinaagi sa pag-ilis sa opsyon nga "-f" sa username, makakonekta ka nga walay pag-verify sa password.
Sa normal nga koneksyon, dili ka makagamit og username sama sa "-f root," apan ang Telnet adunay automatic connection mode nga gi-activate sa "-a" nga opsyon. Niini nga mode, ang username dili kuhaon gikan sa command line, apan ipasa pinaagi sa USER environment variable. Sa dihang gitawag ang login utility, ang bili niini nga environment variable gipulihan nga walay dugang nga pagsusi ug walay pag-escape sa mga espesyal nga karakter. Busa, aron makakonekta isip root user, i-set lang ang USER environment variable sa "-f root" ug ikonektar sa Telnet server gamit ang "-a" nga opsyon: $ USER='-f root' telnet -a server_name
Ang pagbag-o nga nagpaila sa kahuyangan gidugang sa telnetd code niadtong Marso 2015 ug gitubag ang usa ka isyu nga nagpugong sa pagtino sa username sa autologin mode nga walay Kerberos authentication. Isip solusyon, gidugang ang suporta alang sa pagpasa sa username alang sa autologin mode pinaagi sa usa ka environment variable, apan nakalimtan ang usa ka validation check alang sa username gikan sa environment variable.
Source: opennet.ru
