GNU InetUtils කට්ටලයෙන් telnetd සේවාදායකයේ අවදානමක් සොයාගෙන ඇත. මෙම අවදානම මඟින් මුරපද සත්යාපනයකින් තොරව root ඇතුළුව ඕනෑම පරිශීලකයෙකු ලෙස සම්බන්ධ වීමට ඉඩ සලසයි. CVE හඳුනාගැනීමක් තවමත් පවරා නොමැත. අවදානම InetUtils අනුවාදය 1.9.3 (2015) සිට පවතින අතර වත්මන් නිකුතුව 2.7.0 හි නොගැලපී පවතී. නිවැරදි කිරීමක් පැච් වලින් ලබා ගත හැකිය (1, 2).
ගැටළුව ඇති වී ඇත්තේ මුරපදය පරීක්ෂා කිරීම සඳහා, telnetd ක්රියාවලිය "/usr/bin/login" උපයෝගීතාව අමතමින්, සම්බන්ධ වන විට සේවාදායකයා විසින් නිශ්චිතව දක්වා ඇති පරිශීලක නාමය තර්කයක් ලෙස ලබා දීමෙනි. සේවාදායකය"login" උපයෝගීතාව "-f" විකල්පයට සහය දක්වයි, එය සත්යාපනයකින් තොරව පුරනය වීමට ඉඩ සලසයි (පරිශීලකයා දැනටමත් සත්යාපනය කර ඇති විට මෙම විකල්පය භාවිතා කිරීමට අදහස් කෙරේ). එබැවින්, "-f" විකල්පය පරිශීලක නාමයට ආදේශ කිරීමෙන්, ඔබට මුරපද සත්යාපනයකින් තොරව සම්බන්ධ විය හැකිය.
සාමාන්ය සම්බන්ධතාවයක් සමඟ, ඔබට "-f root" වැනි පරිශීලක නාමයක් භාවිතා කළ නොහැක, නමුත් Telnet සතුව "-a" විකල්පය මඟින් සක්රිය කරන ලද ස්වයංක්රීය සම්බන්ධතා මාදිලියක් ඇත. මෙම ප්රකාරයේදී, පරිශීලක නාමය විධාන රේඛාවෙන් ලබා නොගනී, නමුත් USER පරිසර විචල්යය හරහා යවනු ලැබේ. පිවිසුම් උපයෝගීතාව ඇමතූ විට, මෙම පරිසර විචල්යයේ අගය අතිරේක පරීක්ෂාවකින් තොරව සහ විශේෂ අක්ෂර මඟ හැරීමකින් තොරව ආදේශ කරන ලදී. එබැවින්, root පරිශීලකයා ලෙස සම්බන්ධ වීමට, USER පරිසර විචල්යය "-f root" ලෙස සකසා "-a" විකල්පය භාවිතා කර Telnet සේවාදායකයට සම්බන්ධ වන්න: $ USER='-f root' telnet -a server_name
අවදානම හඳුන්වා දුන් වෙනස 2015 මාර්තු මාසයේදී telnetd කේතයට එක් කරන ලද අතර Kerberos සත්යාපනයකින් තොරව ස්වයංක්රීය පිවිසුම් මාදිලියේදී පරිශීලක නාමය තීරණය කිරීම වළක්වන ගැටළුවක් විසඳන ලදී. විසඳුමක් ලෙස, පරිසර විචල්යයක් හරහා ස්වයංක්රීය පිවිසුම් මාදිලිය සඳහා පරිශීලක නාමය ලබා දීම සඳහා සහාය එක් කරන ලදී, නමුත් පරිසර විචල්යයෙන් පරිශීලක නාමය සඳහා වලංගුකරණ පරීක්ෂාවක් අමතක විය.
මූලාශ්රය: opennet.ru
