CVE-2026-32746 - تجاوز سعة المخزن المؤقت في telnetd LINEMODE SLC

تجاوز سعة المخزن المؤقت قبل المصادقة في معالج LINEMODE SLC (Set Local Characters) الخاص بـ GNU InetUtils telnetd.

CVSS 3.1: 9.8 (حرجة) | CWE: CWE-120, CWE-787

نظرة عامة

تُلحق الدالة add_slc() في telnetd/slc.c 3 بايتات لكل ثلاثية SLC بمخزن مؤقت ثابت بحجم 108 بايت (slcbuf) دون التحقق من الحدود. يمكن لمهاجم غير مصادق إرسال خيار فرعي مخصص SLC يحتوي على 40+ ثلاثية (رموز دالة أكبر من 18/NSLC) أثناء التفاوض على الخيارات - قبل أي موجه تسجيل دخول - مما يتسبب في تجاوز سعة المخزن المؤقت وإفساد مؤشر slcptr والبيانات المجاورة في BSS.

المتأثرون

• GNU InetUtils telnetd حتى الإصدار 2.7 (جميع الإصدارات)
• أي telnetd مشتق من قاعدة أكواد BSD SLC
• من المتوقع إصدار التصحيح بحلول 1 أبريل 2026

ما الذي يفعله هذا الـ PoC

• ✅ يؤدي إلى تجاوز سعة المخزن المؤقت والتحقق منه عبر تحليل استجابة SLC (بيانات BSS المسربة)
• ❌ لا يحقق تنفيذ الكود (لا shellcode أو سلسلة ROP)

البدء السريع

# Build the vulnerable lab environment
docker compose up -d

# Detect (non-destructive)
python3 detect.py 127.0.0.1 2323

# Exploit (triggers overflow, verifies via response)
python3 exploit.py 127.0.0.1 2323

# Clean up
docker compose down

بيئة المختبر

يعمل إعداد Docker على تشغيل حاوية Debian مع inetutils-telnetd 2.4 تحت xinetd، معرّضة على المنفذ 2323. معزولة تمامًا - لا شيء يلمس مضيفك.

كيف يعمل

1. الاتصال بـ telnetd وإكمال التفاوض الأولي على الخيارات
2. يرسل العميل بشكل استباقي WILL LINEMODE لتفعيل التفاوض على LINEMODE
3. يستجيب الخادم بـ DO LINEMODE ويدخل في معالجة الخيار الفرعي SLC
4. يرسل العميل خيارًا فرعيًا مخصصًا SLC يحتوي على 40-60 ثلاثية مع رموز دالة أكبر من 18 (NSLC)
5. تضع add_slc() ردًا "غير مدعوم" (3 بايتات) لكل ثلاثية في مخزن مؤقت بحجم 104 بايت
6. بعد حوالي 35 ثلاثية، يفيض المخزن المؤقت، مما يُفسد slcptr والبيانات المجاورة في BSS
7. ترسل end_slc() كل شيء من slcbuf إلى موضع slcptr الذي تم إفساده، بما في ذلك ذاكرة BSS المسربة في الاستجابة
8. تبقى عملية الخادم حية؛ ويتم تأكيد التجاوز من خلال استجابة SLC كبيرة الحجم

الملفات

مزيد من القراءة

للحصول على تحليل استغلال متعمق يتضمن قيود البايت، وتقنيات المحاذاة، وبدائية def_slcbuf/free() على أنظمة 32-بت، راجع مقالة WatchTowr.

المراجع

• WatchTowr Analysis
• Dream Advisory
• GNU bug-inetutils Disclosure
• The Hacker News
• NVD

إخلاء المسؤولية

هذه الأداة مقدمة لاختبارات الاختراق المصرح بها والأغراض التعليمية فقط. لا تستخدمها ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها. المؤلف غير مسؤول عن أي إساءة استخدام.

الاعتمادات

• تم اكتشاف الثغرة بواسطة: Adiel Sol, Arad Inbar, Erez Cohen, Nir Somech, Ben Grinberg, Daniel Lubel (فريق أبحاث الأمن DREAM)

الترخيص

MIT