Efter 14 måneders udvikling er der blevet udgivet en version af GNU inetutils 2.5 med en samling af netværksprogrammer, hvoraf størstedelen er overført fra BSD-systemer. Blandt andet indeholder det inetd og syslogd, servere og klienter til ftp, telnet, rsh, rlogin, tftp og talk, samt standardværktøjer som ping, ping6, traceroute, whois, hostname, dnsdomainname, ifconfig, logger osv.
I den nye version er en sårbarhed (CVE-2023-40303) blevet løst i suid-programmerne ftpd, rcp, rlogin, rsh, rshd og uucpd, som skyldtes manglende kontrol af værdierne, der returneres af funktionerne setuid(), setgid(), seteuid() og setguid(). Sårbarheden kan udnyttes til at skabe betingelser, hvor et kald til set*id() ikke vil føre til en nedbringelse af privilegierne, og programmet fortsætter med at køre med forhøjede privilegier og udfører operationer, der oprindeligt var beregnet til at køre med retterne af en ikke-privilegeret bruger. For eksempel vil processerne ftpd, uucpd og rshd, der køres med root-rettigheder, fortsætte med at bruge root-rettigheder efter at have startet brugerens sessioner i tilfælde af, at kaldet til set*id() mislykkes.
Udover at løse sårbarheden og småfejl er der i den nye version af ping6 tilføjet support til ICMPv6-beskeder med oplysninger om utilgængelighed af målværten ("destination unreachable", RFC 4443).
Kilde: opennet.ru
