Po 14 miesiącach prac rozwojowych wydano wersję zbioru GNU inetutils 2.5, zawierającą zbiór programów sieciowych, z których większość została przeniesiona z systemów BSD. W szczególności w skład wchodzą inetd i syslogd, serwery i klienci dla ftp, telnet, rsh, rlogin, tftp i talk, a także standardowe narzędzia, takie jak ping, ping6, traceroute, whois, hostname, dnsdomainname, ifconfig, logger itp.
W nowej wersji naprawiono lukę (CVE-2023-40303) w programach suid ftpd, rcp, rlogin, rsh, rshd i uucpd, spowodowaną brakiem weryfikacji wartości zwracanych przez funkcje setuid(), setgid(), seteuid() i setguid(). Luka ta może być wykorzystana do stworzenia warunków, w których wywołanie set*id() nie spowoduje resetowania uprawnień, a aplikacja będzie kontynuować pracę z podwyższonymi uprawnieniami i wykona operacje, które pierwotnie miały być realizowane z prawami użytkownika bez uprawnień. Na przykład procesy ftpd, uucpd i rshd, uruchamiane z prawami roota, w przypadku niepowodzenia wywołania set*id() nadal będą korzystać z praw roota po zainicjowaniu sesji użytkowników.
Oprócz usunięcia luki oraz drobnych błędów, w nowej wersji narzędzia ping6 dodano wsparcie dla komunikatów ICMPv6 informujących o niedostępności docelowego hosta („destination unreachable”, RFC 4443).
Źródło: opennet.ru
