Po 14 mesiacoch vývoja bol vydaný balík GNU inetutils 2.5 s kolekciou sieťových programov, z ktorých väčšina bola prenesená zo systémov BSD. Zahŕňa najmä inetd a syslogd, servery a klientov pre ftp, telnet, rsh, rlogin, tftp a talk, ako aj typické nástroje ako ping, ping6, traceroute, whois, hostname, dnsdomainname, ifconfig, logger atď. .P.
Nová verzia odstraňuje zraniteľnosť (CVE-2023-40303) v suid programoch ftpd, rcp, rlogin, rsh, rshd a uucpd, spôsobenú nedostatočným overením hodnôt vrátených setuid(), setgid(), funkcie seteuid() a setguid() . Zraniteľnosť je možné použiť na vytvorenie podmienok, pri ktorých volanie set*id() neresetuje privilégiá a aplikácia bude naďalej pracovať so zvýšenými privilégiami a vykonávať pod nimi operácie, ktoré boli pôvodne navrhnuté na prácu s právami neprivilegovaného používateľa. Napríklad procesy ftpd, uucpd a rshd spustené ako root budú aj po spustení užívateľských relácií pokračovať, ak set*id() zlyhá.
Okrem odstránenia zraniteľností a menších chýb pridáva nová verzia do utility ping6 podporu ICMPv6 správ s informáciou o nedostupnosti cieľového hostiteľa („destination unreachable“, RFC 4443).
Zdroj: opennet.ru
