GNU inetutils
GNU inetutils telnetd: scrittura fuori dai limiti nella gestione LINEMODE SLC
Il problema, secondo i dati ufficiali
- Il demone telnetd di GNU inetutils può eseguire una scrittura fuori dai limiti della memoria (out-of-bounds write) nel gestore della sottopzione LINEMODE SLC (Set Local Characters).
- Il problema nasce perché la funzione add_slc non controlla se il buffer è pieno.
- Secondo il punteggio ufficiale, si sfrutta via rete, quindi anche da internet se il servizio telnetd è esposto, senza bisogno di un account.
- Secondo la CISA esiste già un exploit dimostrativo pubblico.
- Secondo la CISA l'attacco si può automatizzare.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- inetutils: fino alla 2.7 inclusa
Ne parlano
- Dispositivi IoT e servizi di accesso remoto connessi ad Internet: rischi e mitigazioni — CSIRT Italia, 4 novembre 2026
Fonti ufficiali
- www.openwall.com — riferimento
- lists.gnu.org — riferimento
Descrizione ufficiale (in inglese)
telnetd in GNU inetutils through 2.7 allows an out-of-bounds write in the LINEMODE SLC (Set Local Characters) suboption handler because add_slc does not check whether the buffer is full.
Non sai se ti riguarda?
Se usi GNU inetutils e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 11 novembre 2026. Prima di intervenire verifica l'avviso del produttore.