CVE-2026-32746 - telnetd LINEMODE SLC Pufferüberlauf

Remote-Code-Ausführung vor der Authentifizierung durch Pufferüberlauf im LINEMODE SLC (Set Local Characters)-Handler des GNU InetUtils telnetd.

CVSS 3.1: 9.8 (Kritisch) | CWE: CWE-120, CWE-787

Übersicht

Die Funktion add_slc() in telnetd/slc.c hängt 3 Bytes pro SLC-Triplett an einen festen 108-Byte-Puffer (slcbuf) an, ohne Grenzprüfung. Ein nicht authentifizierter Angreifer kann während der Optionsaushandlung – vor jeder Login-Aufforderung – eine manipulierte SLC-Suboption mit 40+ Tripletts (Funktionscodes > 18/NSLC) senden, den Puffer überlaufen lassen, den slcptr-Zeiger im BSS korrumpieren und einen beliebigen Schreibzugriff erreichen, wenn end_slc() den korrumpierten Zeiger verwendet.

Betroffen

• GNU InetUtils telnetd bis einschließlich 2.7 (alle Versionen)
• Jeder telnetd, der vom BSD-SLC-Codebase abgeleitet ist
• Patch voraussichtlich bis 1. April 2026

Was dieser PoC tut

• ✅ Löst den Pufferüberlauf aus und stürzt telnetd ab (bestätigt die Schwachstelle)
• ❌ Führt KEINE Code-Ausführung aus (kein Shellcode/ROP-Kette)

Schnellstart

# Die verwundbare Laborumgebung erstellen
docker compose up -d

# Erkennung (nicht destruktiv)
python3 detect.py 127.0.0.1 2323

# Exploit (stürzt telnetd ab – bestätigt die Schwachstelle)
python3 exploit.py 127.0.0.1 2323

# Aufräumen
docker compose down

Laborumgebung

Das Docker-Setup führt einen Debian-Container mit inetutils-telnetd 2.4 unter xinetd aus, der auf Port 2323 freigegeben ist. Vollständig isoliert – nichts berührt Ihren Host.

Funktionsweise

1. Verbindung zu telnetd herstellen und die anfängliche Optionsaushandlung abschließen
2. Der Client sendet proaktiv WILL LINEMODE, um die LINEMODE-Aushandlung auszulösen
3. Der Server antwortet mit DO LINEMODE und beginnt mit der Verarbeitung der SLC-Suboption
4. Der Client sendet eine manipulierte SLC-Suboption mit 40–60 Tripletts und Funktionscodes > 18 (NSLC)
5. add_slc() stellt für jedes Triplett eine „nicht unterstützt“-Antwort (3 Bytes) in einen 104-Byte-Puffer
6. Nach etwa 35 Tripletts läuft der Puffer über und korrumpiert slcptr sowie angrenzende BSS-Daten
7. end_slc() schreibt das Suboptions-Endemarkierung über den korrumpierten slcptr (beliebiger Schreibzugriff)
8. telnetd stürzt ab (oder Schlimmeres, je nach Überlaufinhalt)

Dateien

Datei	Beschreibung
exploit.py	PoC-Crash/DoS-Exploit
Dockerfile	Verwundbares telnetd-Labor
docker-compose.yml	Labor-Setup mit einem Befehl
xinetd-telnet.conf	xinetd-Dienstkonfiguration
detect.py	Nicht destruktives Versionserkennungsskript

Entwicklung einer RCE-Kette

Um über DoS hinauszugehen, müssten Sie:

1. Das BSS-Layout kartieren (slcbuf → slcptr-Offset)
2. Den Wert steuern, den end_slc() über den korrumpierten slcptr schreibt
3. Einen GOT-Eintrag oder Funktionszeiger überschreiben
4. Die Ausführung auf Shellcode oder eine ROP-Kette umleiten

Referenzen

• Dream Advisory
• GNU bug-inetutils Offenlegung
• The Hacker News
• NVD

Haftungsausschluss

Dieses Tool wird ausschließlich für autorisierte Sicherheitstests und Bildungszwecke bereitgestellt. Verwenden Sie es nicht gegen Systeme, die Sie nicht besitzen oder für die Sie keine ausdrückliche Testberechtigung haben. Der Autor ist nicht für Missbrauch verantwortlich.

Danksagungen

• Schwachstelle entdeckt von: Adiel Sol, Arad Inbar, Erez Cohen, Nir Somech, Ben Grinberg, Daniel Lubel (DREAM Security Research Team)

Lizenz

MIT