CVE-2026-32746 — переполнение буфера в telnetd LINEMODE SLC

Переполнение буфера до аутентификации в обработчике LINEMODE SLC (Set Local Characters) демона telnetd из GNU InetUtils.

CVSS 3.1: 9.8 (Critical) | CWE: CWE-120, CWE-787

Обзор

Функция add_slc() в telnetd/slc.c добавляет по 3 байта на каждый триплет SLC в фиксированный буфер на 108 байт (slcbuf) без проверки границ. Неаутентифицированный злоумышленник может отправить специально сформированную субопцию SLC с 40+ триплетами (коды функций > 18/NSLC) во время согласования опций — до появления приглашения входа — что приведёт к переполнению буфера и повреждению указателя slcptr и соседних данных в BSS.

Затронутые системы

• GNU InetUtils telnetd до версии 2.7 включительно (все версии)
• Любой telnetd, производный от кодовой базы BSD SLC
• Патч ожидается к 1 апреля 2026 года

Что делает этот PoC

• ✅ Вызывает переполнение буфера и проверяет его через анализ ответа SLC (утечка данных BSS)
• ❌ НЕ достигает выполнения кода (без shellcode/ROP-цепочки)

Быстрый старт

# Создание уязвимой лабораторной среды
docker compose up -d

# Обнаружение (без разрушающего воздействия)
python3 detect.py 127.0.0.1 2323

# Эксплуатация (вызывает переполнение, проверка через ответ)
python3 exploit.py 127.0.0.1 2323

# Очистка
docker compose down

Лабораторная среда

Docker-настройка запускает контейнер Debian с inetutils-telnetd 2.4 под управлением xinetd, доступный на порту 2323. Полностью изолирована — ничего не затрагивает вашу хост-систему.

Как это работает

1. Подключение к telnetd и завершение начального согласования опций
2. Клиент проактивно отправляет WILL LINEMODE, чтобы инициировать согласование LINEMODE
3. Сервер отвечает DO LINEMODE и переходит к обработке субопции SLC
4. Клиент отправляет специально сформированную субопцию SLC, содержащую 40–60 триплетов с кодами функций > 18 (NSLC)
5. add_slc() помещает ответ "не поддерживается" (3 байта) для каждого триплета в буфер на 104 байта
6. После ~35 триплетов буфер переполняется, повреждая slcptr и соседние данные BSS
7. end_slc() отправляет всё от slcbuf до повреждённой позиции slcptr, включая утёкшую память BSS в ответе
8. Серверный процесс остаётся живым; переполнение подтверждается ответом SLC увеличенного размера

Файлы

Дополнительное чтение

Для глубокого анализа эксплуатации, включая байтовые ограничения, техники выравнивания и примитив def_slcbuf/free() на 32-битных системах, см. writeup от WatchTowr.

Ссылки

• Анализ WatchTowr
• Консультация Dream
• Раскрытие GNU bug-inetutils
• The Hacker News
• NVD

Отказ от ответственности

Этот инструмент предоставляется только для авторизованного тестирования безопасности и образовательных целей. Не используйте его против систем, которыми вы не владеете или на тестирование которых у вас нет явного разрешения. Автор не несёт ответственности за неправомерное использование.

Авторы

• Уязвимость обнаружена: Adiel Sol, Arad Inbar, Erez Cohen, Nir Somech, Ben Grinberg, Daniel Lubel (DREAM Security Research Team)

Лицензия

MIT