CVE-2026-32746 - telnetd LINEMODE SLC 缓冲区溢出

GNU InetUtils telnetd 的 LINEMODE SLC（Set Local Characters）处理器中存在预认证缓冲区溢出。

CVSS 3.1: 9.8（严重）| CWE: CWE-120, CWE-787

概述

telnetd/slc.c 中的 add_slc() 函数在未进行边界检查的情况下，将每个 SLC 三元组的 3 字节数据附加到固定的 108 字节缓冲区（slcbuf）中。未经认证的攻击者可以在选项协商期间（在任何登录提示符之前）发送包含 40 多个三元组（功能码 > 18/NSLC）的特制 SLC 子选项，从而溢出缓冲区并破坏 BSS 中的 slcptr 指针及相邻数据。

受影响范围

• GNU InetUtils telnetd 直到 2.7（所有版本）
• 任何源自 BSD SLC 代码库的 telnetd
• 预计 2026 年 4 月 1 日发布补丁

此 PoC 的功能

• ✅ 触发缓冲区溢出，并通过 SLC 响应分析（泄露的 BSS 数据）进行验证
• ❌ 无法实现代码执行（无 shellcode/ROP 链）

快速开始

# Build the vulnerable lab environment
docker compose up -d

# Detect (non-destructive)
python3 detect.py 127.0.0.1 2323

# Exploit (triggers overflow, verifies via response)
python3 exploit.py 127.0.0.1 2323

# Clean up
docker compose down

实验环境

Docker 环境运行一个 Debian 容器，其中 inetutils-telnetd 2.4 运行在 xinetd 下，暴露于 2323 端口。完全隔离——不会触及你的主机。

工作原理

1. 连接到 telnetd 并完成初始选项协商
2. 客户端主动发送 WILL LINEMODE 以触发 LINEMODE 协商
3. 服务器响应 DO LINEMODE 并进入 SLC 子选项处理
4. 客户端发送包含 40-60 个三元组的特制 SLC 子选项，功能码 > 18 (NSLC)
5. add_slc() 将每个三元组的“不支持”回复（3 字节）放入 104 字节缓冲区
6. 约 35 个三元组后，缓冲区溢出，破坏 slcptr 及相邻 BSS 数据
7. end_slc() 将从 slcbuf 到被破坏的 slcptr 位置的所有内容发送出去，包括响应中泄露的 BSS 内存
8. 服务器进程保持存活；溢出通过超大尺寸的 SLC 响应得到确认

文件

延伸阅读

有关深入的漏洞利用分析，包括字节约束、对齐技术以及 32 位系统上的 def_slcbuf/free() 原语，请参阅 WatchTowr 的分析文章。

参考

• WatchTowr 分析
• Dream 公告
• GNU bug-inetutils 披露
• The Hacker News
• NVD

免责声明

本工具仅用于授权安全测试和教育目的。请勿对您不拥有或未经明确许可测试的系统使用。作者对滥用行为不承担任何责任。

致谢

漏洞发现者：Adiel Sol、Arad Inbar、Erez Cohen、Nir Somech、Ben Grinberg、Daniel Lubel（DREAM 安全研究团队）

许可协议

MIT