En sårbarhet i telnetd som möjliggör anslutning med root-rättigheter utan autentisering.

En telnetd-server från GNU InetUtils har en sårbarhet identifierats som gör det möjligt att ansluta som vilken användare som helst, inklusive root-användaren, utan lösenordsverifiering. En CVE-identifierare har ännu inte tilldelats. Sårbarheten föreligger från och med version InetUtils 1.9.3 (2015) och kvarstår ofixad i den aktuella versionen 2.7.0. En patch finns tillgänglig (1, 2).

Problemet uppstår på grund av att telnetd-processen anropar programmet “/usr/bin/login” för att verifiera lösenordet och vidarebefordrar användarnamnet som angivits av klienten vid anslutningen till servern. Programmet “login” stöder alternativet “-f”, som gör det möjligt att logga in utan autentisering (detta alternativ antas användas när användaren redan har genomgått verifiering). Således, om man lyckas injicera alternativet “-f” i användarnamnet kan man ansluta utan att verifiera lösenordet.

Vid en vanlig anslutning går det inte att använda ett användarnamn som “-f root”, men telnet har ett automatiskt anslutningsläge som aktiveras av alternativet “-a”. I detta läge hämtas användarnamnet inte från kommandoraden utan överförs via miljövariabeln USER. Vid anrop av programmet login användes värdet från denna variabel utan ytterligare verifiering och utan att specialtecken escaperades. Därför räcker det med att sätta miljövariabeln USER till “-f root” och ansluta till telnet-servern med alternativet “-a”: $ USER=’-f root’ telnet -a server_namn

Ändringen som ledde till sårbarheten lades till i telnetd-koden i mars 2015 och var kopplad till att lösa ett problem som förhindrade identifiering av användarnamn i autologin-läget utan autentisering i Kerberos. Som lösning lades stöd för att överföra användarnamn för autologin-läget via en miljövariabel till, men man glömde att lägga till valideringen av användarnamnet från miljövariabeln.

Källa: opennet.ru