Ua ʻike ʻia kahi nāwaliwali ma ke kikowaena telnetd mai ka GNU InetUtils suite. ʻAe kēia nāwaliwali i ka pilina ma ke ʻano he mea hoʻohana, me ke aʻa, me ka ʻole o ka hōʻoia ʻana i ka ʻōlelo huna. ʻAʻole i hāʻawi ʻia kahi mea hōʻike CVE. Ua loaʻa ka nāwaliwali mai ka mana InetUtils 1.9.3 (2015) a ke waiho nei ʻaʻole i hoʻoponopono ʻia i ka hoʻokuʻu ʻana o kēia manawa 2.7.0. Loaʻa kahi hoʻoponopono ma nā ʻāpana (1, 2).
ʻO ke kumu o ka pilikia ma muli o ka ʻoiaʻiʻo e nānā i ka ʻōlelo huna, kāhea ke kaʻina hana telnetd i ka pono hana "/usr/bin/login", e hāʻawi ana i ka inoa mea hoʻohana i kuhikuhi ʻia e ka mea kūʻai aku i ka wā e hoʻopili ai i kikowaenaKākoʻo ka pono hana "login" i ke koho "-f", kahi e ʻae ai i ka komo ʻana me ka ʻole o ka hōʻoia ʻana (ua manaʻo ʻia kēia koho e hoʻohana ʻia ke hōʻoia mua ʻia ka mea hoʻohana). No laila, ma ke pani ʻana i ke koho "-f" i loko o ka inoa inoa, hiki iā ʻoe ke hoʻopili me ka ʻole o ka hōʻoia ʻana i ka ʻōlelo huna.
Me kahi pilina maʻamau, ʻaʻole hiki iā ʻoe ke hoʻohana i kahi inoa inoa e like me "-f root," akā loaʻa iā Telnet kahi ʻano pilina aunoa i hoʻāla ʻia e ke koho "-a". Ma kēia ʻano, ʻaʻole i lawe ʻia ka inoa inoa mai ka laina kauoha, akā ua hoʻouna ʻia ma o ke ʻano hoʻololi kaiapuni USER. I ka wā i kāhea ʻia ai ka pono komo, ua pani ʻia ka waiwai o kēia ʻano hoʻololi kaiapuni me ka nānā ʻole ʻana a me ka pakele ʻole i nā huapalapala kūikawā. No laila, no ka hoʻopili ʻana ma ke ʻano he mea hoʻohana aʻa, e hoʻonohonoho wale i ke ʻano hoʻololi kaiapuni USER i "-f root" a hoʻopili i ke kikowaena Telnet me ka hoʻohana ʻana i ke koho "-a": $ USER='-f root' telnet -a server_name
Ua hoʻohui ʻia ka hoʻololi i hoʻolauna i ka nāwaliwali i ke code telnetd i Malaki 2015 a ua hoʻoponopono i kahi pilikia i pale i ka hoʻoholo ʻia ʻana o ka inoa inoa ma ke ʻano autologin me ka ʻole o ka hōʻoia ʻana o Kerberos. Ma ke ʻano he hopena, ua hoʻohui ʻia ke kākoʻo no ka hoʻouna ʻana i ka inoa inoa no ke ʻano autologin ma o kahi loli kaiapuni, akā ua poina kahi hōʻoia hōʻoia no ka inoa inoa mai ka loli kaiapuni.
Source: opennet.ru
