CVE-2026-32746 - Overflow del buffer in telnetd LINEMODE SLC

Overflow del buffer pre-autenticazione nel gestore LINEMODE SLC (Set Local Characters) di GNU InetUtils telnetd.

CVSS 3.1: 9.8 (Critico) | CWE: CWE-120, CWE-787

Panoramica

La funzione add_slc() in telnetd/slc.c aggiunge 3 byte per tripletto SLC a un buffer fisso di 108 byte (slcbuf) senza controlli sui limiti. Un attaccante non autenticato può inviare una subopzione SLC appositamente modificata con più di 40 triplet (codici funzione > 18/NSLC) durante la negoziazione delle opzioni - prima di qualsiasi prompt di login - facendo overflow del buffer e corrompendo il puntatore slcptr e i dati adiacenti in BSS.

Versioni interessate

• GNU InetUtils telnetd fino alla 2.7 (tutte le versioni)
• Qualsiasi telnetd derivato dal codebase SLC BSD
• Patch prevista entro il 1° aprile 2026

Cosa Fa Questo PoC

• ✅ Attiva l'overflow del buffer e lo verifica tramite l'analisi della risposta SLC (dati BSS trapelati)
• ❌ NON raggiunge l'esecuzione di codice (nessuna shellcode/ROP chain)

Avvio rapido

# Build the vulnerable lab environment
docker compose up -d

# Detect (non-destructive)
python3 detect.py 127.0.0.1 2323

# Exploit (triggers overflow, verifies via response)
python3 exploit.py 127.0.0.1 2323

# Clean up
docker compose down

Ambiente di laboratorio

La configurazione Docker esegue un container Debian con inetutils-telnetd 2.4 sotto xinetd, esposto sulla porta 2323. Completamente isolato - nulla tocca il tuo host.

Come funziona

1. Connettersi a telnetd e completare la negoziazione iniziale delle opzioni
2. Il client invia proattivamente WILL LINEMODE per attivare la negoziazione LINEMODE
3. Il server risponde con DO LINEMODE ed entra nell'elaborazione della subopzione SLC
4. Il client invia una subopzione SLC appositamente modificata contenente 40-60 triplet con codici funzione > 18 (NSLC)
5. add_slc() accoda una risposta "non supportato" (3 byte) per ogni tripletto in un buffer di 104 byte
6. Dopo circa 35 triplet, il buffer va in overflow, corrompendo slcptr e i dati BSS adiacenti
7. end_slc() invia tutto da slcbuf alla posizione corrotta di slcptr, inclusa la memoria BSS trapelata nella risposta
8. Il processo del server rimane attivo; l'overflow è confermato dalla risposta SLC sovradimensionata

File

Letture aggiuntive

Per un'analisi approfondita dello sfruttamento che include vincoli sui byte, tecniche di allineamento e la primitiva def_slcbuf/free() su sistemi a 32 bit, consulta l'analisi di WatchTowr.

Riferimenti

• Analisi WatchTowr
• Advisory Dream
• Segnalazione GNU bug-inetutils
• The Hacker News
• NVD

Disclaimer

Questo strumento è fornito esclusivamente per test di sicurezza autorizzati e scopi educativi. Non utilizzarlo contro sistemi che non possiedi o per i quali non hai un'autorizzazione esplicita al test. L'autore non è responsabile di un uso improprio.

Crediti

• Vulnerabilità scoperta da: Adiel Sol, Arad Inbar, Erez Cohen, Nir Somech, Ben Grinberg, Daniel Lubel (DREAM Security Research Team)

Licenza

MIT