{"id":112583,"date":"2023-12-30T09:10:13","date_gmt":"2023-12-30T07:10:13","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-gnu-inetutils-2-5-s-ustraneniem-uyazvimosti-v-suid-prilozheniyah"},"modified":"2023-12-30T09:10:13","modified_gmt":"2023-12-30T07:10:13","slug":"vypusk-gnu-inetutils-2-5-s-ustraneniem-uyazvimosti-v-suid-prilozheniyah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/vypusk-gnu-inetutils-2-5-s-ustraneniem-uyazvimosti-v-suid-prilozheniyah","title":{"rendered":"Release von GNU inetutils 2.5 zur Behebung von Schwachstellen in SUID-Anwendungen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nach 14 Monaten Entwicklung wurde das Release-Paket von GNU inetutils 2.5 ver\u00f6ffentlicht, das eine Sammlung von Netzwerkprogrammen umfasst, von denen der Gro\u00dfteil aus BSD-Systemen \u00fcbernommen wurde. Insbesondere sind inetd und syslogd, Server und Clients f\u00fcr ftp, telnet, rsh, rlogin, tftp und talk sowie Standard-Utilities wie ping, ping6, traceroute, whois, hostname, dnsdomainname, ifconfig, logger usw. enthalten. <\/p>\n
In der neuen Version wurde die Schwachstelle (CVE-2023-40303) in den SUID-Programmen ftpd, rcp, rlogin, rsh, rshd und uucpd behoben, die durch fehlende \u00dcberpr\u00fcfungen der von den Funktionen setuid(), setgid(), seteuid() und setguid() zur\u00fcckgegebenen Werte verursacht wurde. Diese Schwachstelle kann ausgenutzt werden, um Bedingungen zu schaffen, unter denen der Aufruf von set*id() nicht zur R\u00fccksetzung der Privilegien f\u00fchrt und die Anwendung weiterhin mit erh\u00f6hten Privilegien l\u00e4uft und unter diesen Operationen ausf\u00fchrt, die urspr\u00fcnglich f\u00fcr Benutzer ohne Privilegien konzipiert waren. Beispielsweise nutzen Prozesse wie ftpd, uucpd und rshd, die mit Root-Rechten gestartet werden, im Falle eines Fehlers beim Aufruf von set*id() weiterhin die Root-Rechte nach dem Start der Benutzersitzungen. <\/p>\n