CVE-2026-32746 - Pufferüberlauf in telnetd LINEMODE SLC

Pufferüberlauf vor der Authentifizierung im LINEMODE SLC (Set Local Characters) Handler von GNU InetUtils telnetd.

CVSS 3.1: 9.8 (Kritisch) | CWE: CWE-120, CWE-787

Überblick

Die Funktion add_slc() in telnetd/slc.c hängt 3 Bytes pro SLC-Triplett an einen festen 108-Byte-Puffer (slcbuf) ohne Grenzprüfung an. Ein nicht authentifizierter Angreifer kann eine manipulierte SLC-Suboption mit 40+ Tripletts (Funktionscodes > 18/NSLC) während der Optionsaushandlung – vor der Anmeldeaufforderung – senden, den Puffer überlaufen lassen und den slcptr-Zeiger sowie angrenzende Daten im BSS-Bereich korrumpieren.

Betroffen

• GNU InetUtils telnetd bis 2.7 (alle Versionen)
• Jeder telnetd, der von der BSD-SLC-Codebasis abgeleitet ist
• Patch wird bis zum 1. April 2026 erwartet

Was dieser PoC tut

• ✅ Löst den Pufferüberlauf aus und verifiziert ihn durch SLC-Antwortanalyse (durchgesickerte BSS-Daten)
• ❌ Erreicht KEINE Code-Ausführung (keine Shellcode/ROP-Kette)

Schnellstart

# Build the vulnerable lab environment
docker compose up -d

# Detect (non-destructive)
python3 detect.py 127.0.0.1 2323

# Exploit (triggers overflow, verifies via response)
python3 exploit.py 127.0.0.1 2323

# Clean up
docker compose down

Laborumgebung

Das Docker-Setup betreibt einen Debian-Container mit inetutils-telnetd 2.4 unter xinetd, bereitgestellt auf Port 2323. Vollständig isoliert – nichts berührt Ihren Host.

Funktionsweise

1. Mit telnetd verbinden und die anfängliche Optionsaushandlung abschließen
2. Client sendet proaktiv WILL LINEMODE, um die LINEMODE-Aushandlung auszulösen
3. Server antwortet mit DO LINEMODE und tritt in die SLC-Suboptionsverarbeitung ein
4. Client sendet eine manipulierte SLC-Suboption mit 40–60 Tripletts und Funktionscodes > 18 (NSLC)
5. add_slc() stellt für jedes Triplett eine „nicht unterstützt“-Antwort (3 Bytes) in einen 104-Byte-Puffer
6. Nach etwa 35 Tripletts läuft der Puffer über und korrumpiert slcptr sowie angrenzende BSS-Daten
7. end_slc() sendet alles von slcbuf bis zur korrumpierten slcptr-Position, einschließlich durchgesickerter BSS-Speicher in der Antwort
8. Der Server-Prozess bleibt am Leben; der Überlauf wird durch die überdimensionierte SLC-Antwort bestätigt

Dateien

Weiterführende Lektüre

Für eine tiefgehende Exploit-Analyse einschließlich Byte-Einschränkungen, Ausrichtungstechniken und der def_slcbuf/free()-Primitive auf 32-Bit-Systemen siehe WatchTowrs Artikel.

Referenzen

• WatchTowr-Analyse
• Dream Advisory
• GNU bug-inetutils Offenlegung
• The Hacker News
• NVD

Haftungsausschluss

Dieses Tool wird ausschließlich für autorisierte Sicherheitstests und zu Bildungszwecken bereitgestellt. Verwenden Sie es nicht gegen Systeme, die Sie nicht besitzen oder für die Sie keine ausdrückliche Genehmigung zum Testen haben. Der Autor übernimmt keine Verantwortung für Missbrauch.

Danksagungen

Schwachstelle entdeckt von: Adiel Sol, Arad Inbar, Erez Cohen, Nir Somech, Ben Grinberg, Daniel Lubel (DREAM Security Research Team)

Lizenz

MIT