Na 14 maanden ontwikkeling is de release van de GNU inetutils 2.5 gevormd met een collectie netwerkprogramma's, waarvan het grootste deel is overgedragen uit BSD-systemen. Onder andere zijn inetd en syslogd inbegrepen, evenals servers en clients voor ftp, telnet, rsh, rlogin, tftp en talk, samen met standaardhulpprogramma's zoals ping, ping6, traceroute, whois, hostname, dnsdomainname, ifconfig, logger, enzovoort.
In de nieuwe versie is een kwetsbaarheid (CVE-2023-40303) verholpen in de suid-toepassingen ftpd, rcp, rlogin, rsh, rshd en uucpd, veroorzaakt door het ontbreken van controle op de waarden die worden geretourneerd door de functies setuid(), setgid(), seteuid() en setguid(). Deze kwetsbaarheid kan worden gebruikt om omstandigheden te creƫren waarbij een aanroep van set*id() niet leidt tot privilege verlaging en de applicatie blijft draaien met verhoogde privileges en onder deze privileges acties uitvoert die oorspronkelijk bedoeld waren voor de rechten van een niet-geprivilegieerde gebruiker. Bijvoorbeeld, processen zoals ftpd, uucpd en rshd, die met root-rechten worden uitgevoerd, blijven root-rechten gebruiken na een mislukte aanroep van set*id() bij de start van gebruikerssessies.
Naast het verhelpen van de kwetsbaarheid en kleine bugfixes is in de nieuwe versie de hulpprogramma ping6 ondersteuning toegevoegd voor ICMPv6-berichten met informatie over het onbereikbaar zijn van de doelhost ("destination unreachable", RFC 4443).
Bron: opennet.ru
