După 14 luni de dezvoltare, a fost definitivată lansarea pachetului GNU inetutils 2.5, care include o colecție de programe de rețea, majoritatea fiind migrate din sistemele BSD. În special, includerea constă în inetd și syslogd, servere și clienți pentru ftp, telnet, rsh, rlogin, tftp și talk, precum și utilitare standard, cum ar fi ping, ping6, traceroute, whois, hostname, dnsdomainname, ifconfig, logger etc.
În noua versiune, a fost remediată vulnerabilitatea (CVE-2023-40303) din programele suid ftpd, rcp, rlogin, rsh, rshd și uucpd, cauzată de lipsa verificării valorilor returnate de funcțiile setuid(), setgid(), seteuid() și setguid(). Vulnerabilitatea poate fi exploatată pentru a crea condiții în care apelul set*id() nu va duce la resetarea privilegiilor, iar aplicația va continua să funcționeze cu privilegii ridicate și va efectua operațiuni destinate inițial să fie efectuate cu drepturi de utilizator neprivilegiat. De exemplu, procesele ftpd, uucpd și rshd, care rulează cu drepturi root, în cazul unei erori la apelul set*id(), vor continua să utilizeze drepturile root după inițierea sesiunilor utilizatorilor.
În plus față de remedierea vulnerabilității și erorilor minore, noua versiune a utilitarului ping6 adaugă suport pentru mesaje ICMPv6 cu informații despre inaccesibilitatea gazdei țintă („destination unreachable”, RFC 4443).
Sursa: opennet.ro
