CVE-2026-32746 - telnetd LINEMODE SLC बफ़र ओवरफ़्लो

GNU InetUtils telnetd के LINEMODE SLC (Set Local Characters) हैंडलर में प्री-प्रमाणीकरण बफ़र ओवरफ़्लो।

CVSS 3.1: 9.8 (क्रिटिकल) | CWE: CWE-120, CWE-787

अवलोकन

telnetd/slc.c में add_slc() फ़ंक्शन प्रत्येक SLC ट्रिपलेट के लिए 3 बाइट्स को एक निश्चित 108-बाइट बफ़र (slcbuf) में बिना बाउंड्स जाँच के जोड़ता है। एक अनप्रमाणित हमलावर विकल्प निगोशिएशन के दौरान - किसी भी लॉगिन प्रॉम्प्ट से पहले - 40+ ट्रिपलेट्स (फ़ंक्शन कोड > 18/NSLC) के साथ एक क्राफ्टेड SLC सबऑप्शन भेज सकता है, जिससे बफ़र ओवरफ़्लो हो जाता है और slcptr पॉइंटर तथा BSS में आसन्न डेटा दूषित हो जाता है।

प्रभावित

• GNU InetUtils telnetd 2.7 तक (सभी संस्करण)
• BSD SLC कोडबेस से व्युत्पन्न कोई भी telnetd
• पैच 1 अप्रैल 2026 तक अपेक्षित

यह PoC क्या करता है

• ✅ बफ़र ओवरफ़्लो को ट्रिगर करता है और SLC प्रतिक्रिया विश्लेषण (लीक हुआ BSS डेटा) के माध्यम से इसकी पुष्टि करता है
• ❌ कोड निष्पादन प्राप्त नहीं करता (कोई shellcode/ROP चेन नहीं)

त्वरित शुरुआत

# Build the vulnerable lab environment
docker compose up -d

# Detect (non-destructive)
python3 detect.py 127.0.0.1 2323

# Exploit (triggers overflow, verifies via response)
python3 exploit.py 127.0.0.1 2323

# Clean up
docker compose down

प्रयोगशाला वातावरण

Docker सेटअप xinetd के अंतर्गत inetutils-telnetd 2.4 चलाने वाला एक Debian कंटेनर चलाता है, जो पोर्ट 2323 पर उजागर है। पूरी तरह से अलग-थलग - यह आपके होस्ट को कुछ भी स्पर्श नहीं करता।

यह कैसे काम करता है

1. telnetd से कनेक्ट करें और प्रारंभिक विकल्प निगोशिएशन पूर्ण करें
2. क्लाइंट LINEMODE निगोशिएशन ट्रिगर करने के लिए सक्रिय रूप से WILL LINEMODE भेजता है
3. सर्वर DO LINEMODE के साथ उत्तर देता है और SLC सबऑप्शन प्रोसेसिंग में प्रवेश करता है
4. क्लाइंट फ़ंक्शन कोड > 18 (NSLC) वाले 40-60 ट्रिपलेट्स युक्त एक क्राफ्टेड SLC सबऑप्शन भेजता है
5. add_slc() प्रत्येक ट्रिपलेट के लिए 104-बाइट बफ़र में "समर्थित नहीं" उत्तर (3 बाइट्स) कतारबद्ध करता है
6. ~35 ट्रिपलेट्स के बाद, बफ़र ओवरफ़्लो हो जाता है, जिससे slcptr और आसन्न BSS डेटा दूषित हो जाता है
7. end_slc() slcbuf से दूषित slcptr स्थिति तक सब कुछ भेजता है, जिसमें प्रतिक्रिया में लीक हुई BSS मेमोरी भी शामिल है
8. सर्वर प्रक्रिया जीवित रहती है; ओवरफ़्लो की पुष्टि आकार से बड़ी SLC प्रतिक्रिया द्वारा होती है

फ़ाइलें

आगे पढ़ना

बाइट बाधाओं, संरेखण तकनीकों और 32-बिट सिस्टम पर def_slcbuf/free() प्रिमिटिव सहित गहन शोषण विश्लेषण के लिए, WatchTowr का विश्लेषण देखें।

संदर्भ

• WatchTowr विश्लेषण
• Dream परामर्श
• GNU bug-inetutils खुलासा
• The Hacker News
• NVD

अस्वीकरण

यह उपकरण केवल अधिकृत सुरक्षा परीक्षण और शैक्षिक उद्देश्यों के लिए प्रदान किया गया है। ऐसी प्रणालियों के विरुद्ध उपयोग न करें जिनके स्वामी आप नहीं हैं या जिनके परीक्षण की आपके पास स्पष्ट अनुमति नहीं है। लेखक दुरुपयोग के लिए उत्तरदायी नहीं है।

श्रेय

• भेद्यता खोजकर्ता: Adiel Sol, Arad Inbar, Erez Cohen, Nir Somech, Ben Grinberg, Daniel Lubel (DREAM Security Research Team)

लाइसेंस

MIT