Kutolewa kwa GNU inetutils 2.5 pamoja na kurekebisha kwa uwezekano wa kuathiriwa katika programu za suid

Baada ya miezi 14 ya maendeleo, GNU inetutils 2.5 Suite ilitolewa na mkusanyiko wa programu za mtandao, ambazo nyingi zilihamishwa kutoka kwa mifumo ya BSD. Hasa, inajumuisha inetd na syslogd, seva na wateja wa ftp, telnet, rsh, rlogin, tftp na majadiliano, pamoja na huduma za kawaida kama vile ping, ping6, traceroute, whois, jina la mwenyeji, dnsdomainname, ifconfig, logger, nk. .P.

Toleo jipya linaondoa hatari (CVE-2023-40303) katika programu za suid ftpd, rcp, rlogin, rsh, rshd na uucpd, unaosababishwa na ukosefu wa uthibitishaji wa maadili yaliyorejeshwa na setuid(), setgid(), seteuid() na setguid() kazi . Athari hii inaweza kutumika kuunda hali ambapo kupiga simu set*id() haitaweka haki upya na programu itaendelea kufanya kazi kwa mapendeleo ya hali ya juu na kutekeleza shughuli chini yake ambazo ziliundwa awali kufanya kazi na haki za mtumiaji asiye na haki. Kwa mfano, michakato ya ftpd, uucpd, na rshd inayoendesha kama mzizi itaendelea kufanya kazi kama mzizi baada ya vipindi vya mtumiaji kuanza ikiwa set*d() itashindwa.

Kando na kuondoa udhaifu na hitilafu ndogo, toleo jipya la shirika la ping6 linaongeza usaidizi kwa ujumbe wa ICMPv6 na maelezo kuhusu kutoweza kufikiwa kwa seva pangishi lengwa (“lengwa lisilofikiwa”, RFC 4443).

Chanzo: opennet.ru