CVE-2026-32746 - telnetd LINEMODE SLC 缓冲区溢出

通过 GNU InetUtils telnetd 的 LINEMODE SLC（设置本地字符）处理程序中的缓冲区溢出，实现未认证远程代码执行。

CVSS 3.1: 9.8（严重） | CWE: CWE-120, CWE-787

概述

telnetd/slc.c 中的 add_slc() 函数将每个 SLC 三元组的 3 个字节追加到一个固定的 108 字节缓冲区（slcbuf）中，且未进行边界检查。未认证的攻击者可以在选项协商期间（任何登录提示之前）发送一个精心构造的 SLC 子选项，其中包含 40 个以上三元组（功能码 > 18/NSLC），从而溢出缓冲区，破坏 BSS 中的 slcptr 指针，并在 end_slc() 使用被破坏的指针时实现任意写入。

受影响范围

• GNU InetUtils telnetd 至 2.7（所有版本）
• 任何源自 BSD SLC 代码库的 telnetd
• 预计于 2026 年 4 月 1 日发布补丁

此 PoC 的功能

• ✅ 触发缓冲区溢出并使 telnetd 崩溃（确认漏洞存在）
• ❌ 不实现代码执行（无 shellcode/ROP 链）

快速开始

# 构建易受攻击的实验室环境
docker compose up -d

# 检测（非破坏性）
python3 detect.py 127.0.0.1 2323

# 利用（使 telnetd 崩溃 - 确认漏洞）
python3 exploit.py 127.0.0.1 2323

# 清理
docker compose down

实验室环境

Docker 设置运行一个 Debian 容器，其中包含在 xinetd 下运行的 inetutils-telnetd 2.4，暴露于端口 2323。完全隔离 - 不会影响您的主机。

工作原理

1. 连接到 telnetd 并完成初始选项协商
2. 客户端主动发送 WILL LINEMODE 以触发 LINEMODE 协商
3. 服务器响应 DO LINEMODE 并进入 SLC 子选项处理
4. 客户端发送一个精心构造的 SLC 子选项，其中包含 40-60 个功能码 > 18（NSLC）的三元组
5. add_slc() 为每个三元组将一个"不支持"回复（3 字节）排队到一个 104 字节的缓冲区中
6. 约 35 个三元组后，缓冲区溢出，破坏 slcptr 和相邻的 BSS 数据
7. end_slc() 通过被破坏的 slcptr 写入子选项结束标记（任意写入）
8. telnetd 崩溃（或更糟，取决于溢出内容）

文件

开发 RCE 利用链

要超越 DoS，您需要：

1. 映射 BSS 布局（slcbuf → slcptr 偏移量）
2. 控制 end_slc() 通过被破坏的 slcptr 写入的值
3. 覆盖 GOT 条目或函数指针
4. 将执行重定向到 shellcode 或 ROP 链

参考

• Dream Advisory
• GNU bug-inetutils 披露
• The Hacker News
• NVD

免责声明

本工具仅供授权的安全测试和教育目的使用。请勿将其用于您不拥有或未经明确许可测试的系统。作者对滥用行为不承担任何责任。

致谢

• 漏洞发现者：Adiel Sol, Arad Inbar, Erez Cohen, Nir Somech, Ben Grinberg, Daniel Lubel（DREAM 安全研究团队）

许可证

MIT