È stata identificata una vulnerabilità nel server telnetd del pacchetto GNU InetUtils, che consente di connettersi come qualsiasi utente, incluso l'utente root, senza controllo della password. Non è ancora stato assegnato alcun identificativo CVE. La vulnerabilità si manifesta a partire dalla versione InetUtils 1.9.3 (2015) ed è rimasta non corretta nella attuale versione 2.7.0. Una correzione è disponibile sotto forma di patch (1, 2).
Il problema è causato dal fatto che, per il controllo della password, il processo telnetd chiama l'utility «/usr/bin/login», passando come argomento il nome utente fornito dal client durante la connessione a server. L'utility «login» supporta l'opzione «-f», che consente di effettuare l'accesso senza eseguire l'autenticazione (si presume che questa opzione venga utilizzata quando l'utente ha già superato il controllo). Pertanto, se si riesce a inserire l'opzione «-f» nel nome utente, è possibile connettersi senza controllo della password.
In una connessione normale, non è possibile utilizzare un nome utente del tipo «-f root», ma in telnet esiste una modalità di accesso automatico attivabile con l'opzione «-a». In questa modalità, il nome utente non viene preso dalla riga di comando, ma viene passato tramite la variabile di ambiente USER. Quando viene chiamata l'utility login, il valore di questa variabile di ambiente viene utilizzato senza ulteriori controlli e senza l'escape dei caratteri speciali. Pertanto, per connettersi come utente root è sufficiente impostare nella variabile di ambiente USER il valore «-f root» e connettersi al server telnet specificando l'opzione «-a»: $ USER=’-f root’ telnet -a nome_server
La modifica che ha portato alla vulnerabilità è stata aggiunta al codice telnetd nel marzo 2015 ed era correlata alla risoluzione di un problema che non permetteva di determinare il nome utente in modalità autologin senza autenticazione in Kerberos. Come soluzione è stata aggiunta la possibilità di passare il nome utente per la modalità autologin tramite una variabile di ambiente, ma si sono dimenticati di aggiungere il controllo corretto del nome utente dalla variabile di ambiente.
Fonte: opennet.ru
