{"id":112583,"date":"2023-12-30T09:10:13","date_gmt":"2023-12-30T07:10:13","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-gnu-inetutils-2-5-s-ustraneniem-uyazvimosti-v-suid-prilozheniyah"},"modified":"2023-12-30T09:10:13","modified_gmt":"2023-12-30T07:10:13","slug":"vypusk-gnu-inetutils-2-5-s-ustraneniem-uyazvimosti-v-suid-prilozheniyah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/vypusk-gnu-inetutils-2-5-s-ustraneniem-uyazvimosti-v-suid-prilozheniyah","title":{"rendered":"Release of GNU inetutils 2.5 addressing vulnerabilities in suid applications","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Efter 14 m\u00e5neders udvikling er der blevet udgivet en version af GNU inetutils 2.5 med en samling af netv\u00e6rksprogrammer, hvoraf st\u00f8rstedelen er overf\u00f8rt fra BSD-systemer. Blandt andet indeholder det inetd og syslogd, servere og klienter til ftp, telnet, rsh, rlogin, tftp og talk, samt standardv\u00e6rkt\u00f8jer som ping, ping6, traceroute, whois, hostname, dnsdomainname, ifconfig, logger osv. <\/p>\n
I den nye version er en s\u00e5rbarhed (CVE-2023-40303) blevet l\u00f8st i suid-programmerne ftpd, rcp, rlogin, rsh, rshd og uucpd, som skyldtes manglende kontrol af v\u00e6rdierne, der returneres af funktionerne setuid(), setgid(), seteuid() og setguid(). S\u00e5rbarheden kan udnyttes til at skabe betingelser, hvor et kald til set*id() ikke vil f\u00f8re til en nedbringelse af privilegierne, og programmet forts\u00e6tter med at k\u00f8re med forh\u00f8jede privilegier og udf\u00f8rer operationer, der oprindeligt var beregnet til at k\u00f8re med retterne af en ikke-privilegeret bruger. For eksempel vil processerne ftpd, uucpd og rshd, der k\u00f8res med root-rettigheder, forts\u00e6tte med at bruge root-rettigheder efter at have startet brugerens sessioner i tilf\u00e6lde af, at kaldet til set*id() mislykkes. <\/p>\n
Udover at rette s\u00e5rbarheder og mindre fejl i den nye version, er der tilf\u00f8jet st\u00f8tte til ICMPv6-meddelelser om, at destinationsv\u00e6rten er utilg\u00e6ngelig (\"destination unreachable\", RFC 4443) i v\u00e6rkt\u00f8jet ping6. <\/p>\n